Zein helbide ikusten du hodeiko suebaki batek VPN-a piztuta dagoenean
Tunel osoak zure datu-baseak ikusten duen jatorrizko helbidea aldatzen du. Mugitu baimenduen zerrenda, bide pribatua edo tunel zatitua, ez kredentziala.
VPN-a konektatu aurretik funtzionatzen duen eta ondoren huts egiten duen datu-base bat gutxitan da kredentzialen arazoa. Hodeiko suebakiek jatorrizko helbideak parekatzen dituzte, eta tunel osoak parekatzen ari ziren hura ordezkatzen du. Zure ustez zure eramangarriak bidaltzen duenaren eta zerbitzariak jasotzen duenaren arteko aldea da akats osoa, eta urrats bakarrean neur daiteke.
Zertan bihurtzen da jatorrizko helbidea
Tunel osoan, pakete bakoitza VPN atearen bidez irteten da, beraz zerbitzariak atearen irteerako helbidea ikusten du, ez zure etxeko konexioa. Bidean aurreranzko proxy bat badago, haren helbidea iristen da. Biak dira iturri legitimoak, eta bat ere ez da zure jatorrizko arauan dagoen helbidea.
Azure SQL-ren zerbitzari eta datu-base mailako suebaki arauek zerbitzari logikora iristen den bezeroaren helbidea parekatzen dute, tunel osoaren ondoren irteerako helbidea dena. Helbide bakarra uzten duen AWS segurtasun talde batek berdin jokatzen du. Paketea autentifikazioaren aurretik baztertzen da, beraz jasotzen duzun errorea sare hutsegitea dirudi, ez baimen arazoa. Hori da hain zuzen jendea pasahitzak berrezartzen hasten den arrazoia.
Non erabakitzen da baimenduen zerrenda
Irakurri huts egiten duen bidearekin bat datorren araua, sortu zenuela gogoratzen duzun araua ez. Ohartu haren irismena, ataka, protokoloa eta edozein identitate egiaztapen baino lehen ebaluatzen den ala ez.
Ondoren erabaki zein geruzak duen erabakiaren jabetza legitimoan. Helbide arauak erantzuten du nondik datorren trafikoa. Puntu amaiera pribatu batek erantzuten du zerbitzua bide pribatu batetik irisgarria den ala ez. Tunel zatituaren salbuespenak erantzuten du zein helmugak saihesten duten tunela. Ez dira trukagarriak, eta bakoitzak modu ezberdinean huts egiten du tuneleak aldatzen direnean.
Hiru konponketa, hiru geruza
Beheko aukera bakoitzak fluxua arrazoi ezberdinengatik konpontzen du, eta okerra aukeratzeak hurrengo ate aldaketara arte funtzionatzen duen konexioa sortzen du.
| Repair | Layer it changes | What it does not fix |
|---|---|---|
| Add the egress address to the rule | Source address matching | Nothing about routing, and it breaks when the egress moves |
| Use a private endpoint | Whether the service is reached privately | A client that still resolves the public name |
| Add a split-tunnel exception | Which flows bypass the tunnel | An expired credential or a wrong password |
Irteerako helbidea gehitzea da aldaketarik txikiena eta hauskorrena, ate berri batek edo eskualde ezberdin batek isil-isilik baliogabetzen baitu. Dokumentatu helbidea tunelaren definizioaren ondoan, biak elkarrekin mugi daitezen. Behin-behineko barruti zabala diagnostikoa da, ez konponketa; hura tokian uztea da barne zerbitzuak agerian geratzeko bidea.
Zergatik ezin zaion plataforma kudeatu batek tunelean sartu
Heroku, AppHarbor edo CloudBees bezalako aplikazio plataformek zure kodea tun edo tap gailurik eta bat sortzeko pribilegiorik gabeko ingurunean exekutatzen dute. Haien sarrera eredua HTTP da, ez edozein entzuteko socket. VPN binario bat daraman buildpack batek ez du oraindik interfazea jartzeko lekurik. Erabilgarriak diren ereduak datu-baseak baimendu dezakeen irteerako helbide estatiko bat, plataformak eskaintzen duen konexio pribatuko produktu bat edo DMZ batean HTTPS bidez iristen den proxy bat dira.
Proxy hori sarbide bide bat da, bere autentifikazio eta erregistroarekin. Ez du plataforma zure VPNaren kide egiten, eta horrela deskribatzeak inork auditatu ezin dituen arauak sortzen ditu.
Egiaztatu huts egin zuen bezeroarengandik
Berriz konektatu eta errepikatu bezeroaren bide zehatza. Egiaztatu zerbitzuak erregistratzen duen jatorrizko helbidea, bezeroak datu-basearen izenerako aukeratzen duen ibilbidea eta benetako kontsultaren emaitza, ordena horretan. Atetik egindako probak ateak funtzionatzen duela frogatzen du, inoiz zalantzan egon ez zena. Konexioa orain autentifikatzen bada eta kontsultak oraindik huts egiten badu, gainerako arazoa datu-basearen baimena da.
Berrikusi arau hauek tuneleak aldatzen diren bakoitzean. Ordezkatutako ate batek edo irteerako barruti berri batek bidea hausten dute aplikazioaren konfigurazioan inolako aldaketarik gabe.