SQL VPN bidez: bezero zuzena edo barne-lanpostua?

VPN-ko ordenagailu eramangarritik zuzenean egindako SQL eta kudeatutako lanpostu bateko SSMS konfiantza-bide desberdinak dira. Alderatu bakoitzak sortzen duen iturburu-helbidea eta baimenak.

Taldeek SSMS nahi dute beren eramangarrietan, eta konponbide azkarra SQL ataka VPN igerilekura argitaratzea da. Erantzun motelagoak bezero-prozesua non exekutatu behar den galdetzen du, sarbide zuzenak eta barne-lanpostu batek iturburu-helbide, muturreko konfiantza eta datu-bide desberdinak sortzen dituztelako. Bat ere ez da automatikoki segurua, eta VPNko kide izateak soilik ez du ezer erabakitzen. Alderatu diseinuak baimen-araua existitu aurretik.

Bi bide, bi iturburu-helbide

Sarbide zuzenean eramangarriak bezeroaren konfigurazioa darama eta berak irekitzen du datu-basearen konexioa. Urrutiko lanpostu batean eramangarriak mahaigaineko saioa irekitzen du, eta lanpostuak SQL konexioa egiten du bere helbidetik. Beraz, datu-baseak VPN igerilekua edo itzulitako atebidea ikusten du lehen diseinuan, eta lanpostuaren helbidea bigarrenean. Aldea horrek erabakitzen du zein suebaki-arau eta zein SQL baimen aplikatzen diren benetan.

Eramangarriak urrutiko saioa kontrolatzen jarraitzen du, beraz lanpostu batek ez du erabiltzaile-autentifikazioa edo saio-politika ordezkatzen.

Egiaztatu datu-baseak benetan zer ikusten duen

Iturburu-helbidea neurtu egiten da, ez da diagrama batetik ondorioztatzen. Irakurri konexio aktibo baten zerbitzari-aldean.

Test-NetConnection sql.example.com -Port 1433
sqlcmd -S tcp:sql.example.com,1433 -N -d appdb -Q "select SUSER_SNAME() as login_name, DB_NAME() as db"

Konektibitate-probak frogatzen du entzuleak sare horretatik TCP onartzen duela, eta kontsultak frogatzen du saioak zein saioa hasi eta zein datu-basera iritsi zen. Zerbitzariak erregistratutako helbidea ikusteko, egin kontsulta sys.dm_exec_connections egungo saiorako; horrek bezeroaren helbidea itzultzen du edozein itzulpenen ondoren. Balio hori atebide bat eta ez eramangarria bada, erabiltzaile bakoitzeko host-arau batek ezin du datu-basearen makinan funtzionatu. Idatzi behatutako balioa hautatutako diseinuaren ondoan, berriz konektatzeak eta igerileku-aldaketak mugitzen baitute.

Ireki entzulea eta besterik ez

Ireki zabalkuntzak behar duen zerbitzua soilik. 1433 ezaguna instantzia lehenetsiaren ataka da, ez konstante unibertsala.

Get-NetTCPConnection -State Listen -LocalPort 1433

Instantzia izendatuek ataka dinamikoan entzuten dute sarritan, SQL Server Browser-ek UDP 1434 bidez aurkikuntzari erantzuten diolarik, eta mendekotasun hori justifikatu beharreko esposizio bereizia da. Instantziarako ataka finko bat ezartzeak Browser-ren beharra kentzen du eta suebaki-arauak egonkor bihurtzen ditu. Mantendu bezeroak egiten dituen zifratze- eta ziurtagiri-egiaztapenak, proba bat gainditzearen truke desaktibatu beharrean. Ondoren eman datu-basearen rolak karga-lanerako, VPN talde osoa zerbitzari-rol batera gehitu beharrean.

Frogatu baimendutako bidea eta debekatutakoa

Ireki saio berri bat onartutako erabiltzaile arrunt gisa, eta berretsi zerbitzariaren identitatea, datu-basea eta behar den eragiketa. Gero berretsi bazterketa: politikatik kanpoko iturburu edo kontuak proba berean huts egin behar du. Lanpostu-diseinurako, egiaztatu eramangarriak ezin duela muga saihestu datu-basera zuzenean iritsiz. Sarbide zuzenerako, egiaztatu ibilbidea eta iturburu-araua oraindik balio dutela berriz konektatu ondoren.

Erregistratu bezeroa non exekutatu zen, datu-baseak zein iturburu ikusi zuen eta zein rulek baimendu zuen. Hori da hurrengo berrikuspenak eskatuko duen froga.

Erlazionatutako artikuluak