Millist aadressi näeb pilve tulemüür, kui VPN on sisse lülitatud
Täistunnel muudab lähteaadressi, mida teie andmebaas näeb. Liigutage lubatud aadresside loendit, privaatset teed või jagatud tunnelit, mitte mandaati.
Andmebaas, mis töötab enne VPN-i ühendamist ja ebaõnnestub pärast seda, on harva mandaadi probleem. Pilve tulemüürid sobitavad lähteaadresse ja täistunnel asendab selle, mida nad sobitasid. Vahe selle vahel, mida te arvate, et teie sülearvuti saadab, ja selle vahel, mida server vastu võtab, on kogu viga ja seda saab mõõta ühe sammuga.
Milleks lähteaadress saab
Täistunnelis väljub iga pakett VPN-i lüüsi kaudu, seega näeb server lüüsi väljundadressi, mitte teie kodust ühendust. Kui teel on edastav puhverserver, saabub selle aadress. Mõlemad on legitiimsed allikad ja kumbki ei ole teie algses reeglis olev aadress.
Azure SQL-i serveri- ja andmebaasitasandi tulemüürireeglid sobitavad kliendi aadressi, mis jõuab loogilise serverini, mis pärast täistunnelit on väljundadress. AWS-i turbegrupp, mis lubab ühte aadressi, käitub samamoodi. Pakett visatakse enne autentimist kõrvale, seega tagastatav viga näeb välja nagu võrgu tõrge, mitte nagu õiguste probleem. Just seetõttu hakkavad inimesed paroole lähtestama.
Kus lubatud aadresside loend otsustatakse
Lugege reeglit, mis vastab ebaõnnestuvale teele, mitte reeglit, mille loomist mäletate. Pange tähele selle ulatust, porti, protokolli ja seda, kas seda hinnatakse enne mis tahes identiteedikontrolli.
Seejärel otsustage, milline kiht seda otsust legitiimselt omab. Aadressireegel vastab, kust liiklus tuleb. Privaatne lõpp-punkt vastab, kas teenus on üldse privaatse tee kaudu kättesaadav. Jagatud tunneli erand vastab, millised sihtkohad tunnelist mööda lähevad. Need ei ole vahetatavad ja igaüks ebaõnnestub erinevalt, kui tunnel muutub.
Kolm parandust, kolm kihti
Iga valik allpool parandab voogu erineval põhjusel ja vale valik annab ühenduse, mis töötab kuni järgmise lüüsini muutuseni.
| Repair | Layer it changes | What it does not fix |
|---|---|---|
| Add the egress address to the rule | Source address matching | Nothing about routing, and it breaks when the egress moves |
| Use a private endpoint | Whether the service is reached privately | A client that still resolves the public name |
| Add a split-tunnel exception | Which flows bypass the tunnel | An expired credential or a wrong password |
Väljundadressi lisamine on väikseim muudatus ja kõige hapram, sest uus lüüs või teine piirkond muudab selle vaikselt kehtetuks. Dokumenteerige aadress tunneli määratluse kõrval, et need kaks liiguksid koos. Ajutine lai vahemik on diagnostika, mitte parandus; selle allesjätmine on viis, kuidas sisemised teenused lõpuks avatuks jäävad.
Miks hallatav platvorm ei saa tunneliga liituda
Rakenduseplatvormid nagu Heroku, AppHarbor või CloudBees käitavad teie koodi keskkonnas, kus pole tun- ega tap-seadet ja pole õigusi seda luua. Nende sissetulev mudel on HTTP, mitte suvaline kuulav sokkel. Buildpack, mis tarnib VPN-i binaarfaili, ei leia ikka kohta, kuhu liides panna. Toimivad mustrid on staatiline väljundadress, mida andmebaas saab lubada, platvormi pakutav privaatse ühenduse toode või DMZ-is olev puhverserver, kuhu pääseb HTTPS-i kaudu.
See puhverserver on juurdepääsutee oma autentimise ja logimisega. See ei tee platvormist teie VPN-i liiget ja sellisena kirjeldamine loob reeglid, mida keegi auditeerida ei saa.
Kontrollige kliendist, mis ebaõnnestus
Ühendage uuesti ja korrake kliendi täpset teed. Kontrollige lähteaadressi, mille teenus logib, marsruuti, mille klient andmebaasi nime jaoks valib, ja tegeliku päringu tulemust, selles järjekorras. Lüüsist tehtud test tõestab, et lüüs töötab, mida ei olnud kunagi kahtluse all. Kui ühendus nüüd autenditakse ja päring ikka ebaõnnestub, on allesjäänud probleem andmebaasi õigus.
Vaadake need reeglid üle alati, kui tunnel muutub. Asendatud lüüs või uus väljundvahemik katkestab tee ilma ühegi rakenduse konfiguratsiooni muudatuseta.