Tokiko datu-base bezeroa eta RDS pribatua: zergatik iraungitzen da konexioa

Garatzaile baten eramangarria RDS amaierako puntu pribatuarekin konektatzean iraungitzen da, baina kredentzial berberak bastioi ostalaritik funtzionatzen dute. Ezer ez da erori. Eramangarri horren eta datu-basearen arteko bideari hiru gauzetako bat falta zaio: ebazten den izen bat, trafikoa daraman ibilbide bat, edo datu-baseak benetan ikusten duen iturburua onartzen duen segurtasun-taldeko araua. Egiaztatu zein falta den beste biak aldatu aurretik.

Irakurri porrota geruza egokian

Iraungitzea ez da errore bakarra. Ebazten ez den izen batek makina utzi aurretik huts egiten du. Ibilbiderik gabeko helbide batek paketeak zulo beltzera bidaltzen ditu. Iragazitako portu batek ostalari oker baten berdinak dirudien itxaronaldia sortzen du. Exekutatu urratsak ordenan eta gelditu huts egiten duen lehenengoan.

dig +short db.internal.example
nc -vz db.internal.example 5432

Izenak helbide publiko bat itzultzen badu, edo ezer ez, tunela ez da oraindik arazoa.

Izena ebazten bada eta portu-proba zintzilik geratzen bada, alderatu ebatzitako helbidea datu-baseak jakinarazten duen helbidearekin. Kudeatutako amaierako puntu bat VPC barruko helbide pribatu batera ebatz daiteke eta kanpoan ezertarako balio ez duenera, eta bilaketa zahar batetik kopiatutako helbidea jada erantzuten ez duen ostalari bati seinalatuko dio.

Bereizi tunela ibilbidetik

Bezeroaren VPN bat konektatzeak ez du automatikoki bideratzen barruti pribatu guztiak. Profilak zerbitzuak bultzatzen dituen ibilbideak daramatza, eta bezeroak horietako batzuk baino ez ditu instalatuko. Begiratu bezeroak benetan zein barruti gehitu dituen eta datu-basearen helbidea horietako baten barruan geratzen den.

ip route get 10.20.40.15
ip addr show tun0

Tunelaren interfazeera seinalatzen duen ibilbide bat beharrezkoa da; ez da nahikoa, kontrako aldeak trafikoa oraindik onartu behar duelako.

Tunel zatituaren profilak dira porrot erdi honen ohiko iturburua. Profila diseinatu zen aplikazioarentzat funtzionatzen dute eta datu-basearen barrutia tunelatik kanpo uzten dute, suebaki batek sortuko lukeen iraungitze bera sortuz.

Egokitu segurtasun-taldea benetako iturburuari

RDS segurtasun-taldeak iturburuak onartzen ditu, ez pertsonak. Arkitekturaren arabera, iturburua VPN bezeroen pool-a, bastioi baten helbide pribatua edo trafikoa itzultzen den NAT helbide bat izan daiteke. Irakurri araua eta paketearen benetako iturburua elkarrekin.

aws ec2 describe-security-groups --group-ids sg-0123456789abcdef0 \
  --query 'SecurityGroups[].IpPermissions'

Eramangarri bakar baten etxeko helbiderako araua mantenimendu arazoa da, ez sarbide diseinua.

Bidean bezeroaren VPN bat edo NAT atebide bat dagoenean, datu-baseak itzultzailearen helbidea ikus dezake garatzailearen tunel helbidearen ordez. Horregatik bastioi konfigurazio batean funtzionatzen duen arau bat eramangarri baterako huts egin dezake: bi bidek iturburu desberdinetatik iristen dira, nahiz eta biak barnekoak diruditen.

Hobetsi bide estua zabalaren aurrean

Garatzaile batek datu-base bat behar duenean, saioan oinarritutako birbidalketa sare-tunel osoa baino merkeagoa izaten da ustiatzeko. Tokiko bezeroa birbidalitako portu batera konektatzen da, eta urruneko osagaiak datu-basearen konexioa sarearen barrualdetik egiten du.

ssh -N -L 5432:db.internal.example:5432 bastion.internal.example

Eduki TLS egiaztapena osorik diseinu horretan. Bezeroak zerbitzariaren ziurtagiria espero duen izenaren aurka baliozkotu beharko luke oraindik; tokiko birbidalitako portua ez da egiaztapena desgaitzeko arrazoia, eta hura desgaitzeak harrapatzeko merezi duen identitate arazoa ezkutatzen du zehazki.

Tunel osoaren eta birbidalketa estuaren arteko hautua irismenari buruzko erabakia da, ez segurtasun antzerkiari buruzkoa.

Utzi atzean errepika daitekeen bide bat

Dokumentatu amaierako puntuaren izena ebatzitako helbide baten ordez, segurtasun-taldeak onartzen duen iturburu barrutia eta garatzaileak erabiltzen duen datu-basearen rola. Hiru gertaera horiek azaltzen dituzte etorkizuneko porrot gehienak deirik gabe. Gehitu bezeroaren profilaren bertsioa ere, profil aldaketa batek zaharrak zeraman ibilbide bat kendu baitezake.

Gero probatu kasu negatiboa behin: onartutako iturburutik kanpoko bezero bat oraindik ukatu beharko litzateke.

Bere burua konfiguratu zuenarentzat bakarrik funtzionatzen duen datu-base pribatu bat ez da sarbide pribatua; dokumentatu gabeko salbuespen bat da, berriro aurkitzeko zain. Idatzi bidea, eta hurrengo garatzaileak metodo bat heredatuko du, misterio bat beharrean.