آیا VPN تجاری پورت 5432 را مسدود می‌کند؟ گزینه‌های خود را مقایسه کنید

برنامه هر روز از دفتر با پایگاه داده خود صحبت می‌کرد. سپس کسی مشتری VPN تجاری را روی همان لپ‌تاپ فعال کرد و اتصال پس از دست‌دادن شروع به بازنشانی کرد. هیچ چیز در برنامه تغییر نکرد، تونل سالم گزارش می‌دهد و دیوار آتشی که شما کنترل می‌کنید هیچ قاعده مسدودسازی ندارد. آنچه تغییر کرد مسیر خروج است: سرورهای ارائه‌دهنده نقاط پایانی مشترک و پرترافیک هستند و ارائه‌دهندگان پورت‌های خروجی را برای کاهش سوءاستفاده فیلتر می‌کنند. پورت‌های پایگاه داده و ارسال ایمیل بیشترین سهم را می‌گیرند، چون همین پورت‌ها هستند که اسکن و هرزنامه را از یک استخر نشانی ناشناس جذب می‌کنند.

آزمون پنج دقیقه‌ای که فیلترسازی را از هر چیز دیگری جدا می‌کند

از همان ماشین، یک پورت که باید باز باشد و پورتی که شکست می‌خورد را روی همان میزبان، یک بار با تونل روشن و سپس خاموش، بررسی کنید. هر دو بار از همان فرمان استفاده کنید تا تنها متغیر، تونل باشد:

Test-NetConnection db.example.com -Port 443
Test-NetConnection db.example.com -Port 5432
nc -vz -w3 db.example.com 5432

چهار نتیجه تقریباً همه حالت‌ها را پوشش می‌دهد. اگر 443 کار کند و 5432 فقط با تونل روشن شکست بخورد، شما فیلترسازی پورت در مسیر خروج را می‌بینید. اگر هر دو با تونل روشن شکست بخورند و هر دو بدون آن کار کنند، مشکل مسیریابی یا DNS است نه سیاست پورت. اگر هر دو پورت وصل شوند اما برنامه باز هم شکست بخورد، ایراد در احراز هویت یا TLS است نه در دسترسی. و اگر فقط یک موقعیت سرور ارائه‌دهنده شکست بخورد، سیاست آن سرور است، پس پیش از دست زدن به هر پیکربندی، موقعیت دیگری را امتحان کنید.

گزینه اول: تونل تقسیم‌شده برای زیرشبکه پایگاه داده

اگر لپ‌تاپ به VPN تجاری فقط برای اهداف دیگر نیاز دارد، محدوده نشانی پایگاه داده را از تونل خارج کنید تا ترافیک هرگز وارد خروجی مشترک نشود. این پاک‌ترین گزینه است وقتی دو مسیر واقعاً نیازی به تلاقی ندارند و چیزی جز یک قاعده مسیریابی که می‌توانید مستند کنید هزینه ندارد. معاوضه این است که تونل تقسیم‌شده یک سطح سیاست دوم معرفی می‌کند: آنچه از تونل خارج می‌شود باید آگاهانه باشد، نه اثر جانبی زیرشبکه‌ای که کسی بعداً افزوده است.

لحظه‌ای که پایگاه داده داخل شبکه‌ای قرار می‌گیرد که VPN قرار است به آن برسد، دیگر کار نمی‌کند، پس پیش از تعهد به آن این را بررسی کنید.

گزینه دوم: نقطه پایانی خودتان، خروج خودتان

اجرای یک نقطه پایانی کوچک VPN روی یک VPS کنترل سیاست خروج را به شما می‌دهد و هیچ استخر مشترکی دخیل نیست. این گزینه‌ای است که ارزش مقایسه صادقانه با مشتری تجاری را دارد: یک نشانی مبدأ قابل پیش‌بینی به دست می‌آورید و ردپای جهانی و راحتی ارائه‌دهنده را از دست می‌دهید. برای تیمی که تمام روز به پورت‌های پایگاه داده و ایمیل نیاز دارد، معاوضه معمولاً به سود داشتن نقطه پایانی است، زیرا حالت شکست به پیکربندی نادرست خودتان تبدیل می‌شود نه سیاست سوءاستفاده شخص دیگری.

این دو را از نظر پایداری نشانی مبدأ، اینکه چه کسی می‌تواند ترافیک شما را بخواند، و اینکه در روزی که ارائه‌دهنده نقطه پایانی فیلتر خودش را تغییر می‌دهد چه اتفاقی می‌افتد مقایسه کنید.

گزینه سوم: لپ‌تاپ را از مسیر خارج کنید

یک کار CI، یک کانتینر زمان‌بندی‌شده یا یک میزبان سنگر درون شبکه مجاز به وضعیت تونل یک انسان وابسته نیست. از میزبانی که از قبل مجاز است با تونل SSH به پایگاه داده برسید و لپ‌تاپ هرگز مستقیماً با پورت صحبت نمی‌کند. این گزینه‌ای است که وقتی چند نفر به یک محدودیت برمی‌خورند مقیاس می‌یابد و همان گزینه‌ای است که مشکل را به جای دور زدن، حذف می‌کند.

کار پیشاپیش بیشتری نسبت به یک قاعده تونل تقسیم‌شده می‌طلبد و به آن یک نفری که همین حالا به یک نشست تعاملی نیاز دارد کمکی نمی‌کند.

چرا گذاشتن نشانی ارائه‌دهنده در فهرست مجاز مقایسه اشتباهی است

افزودن نشانی خروج ارائه‌دهنده به فهرست مجاز پایگاه داده کار می‌کند و همچنین به هر مشترک دیگری که در آن لحظه آن نشانی را شریک است دسترسی می‌دهد. برای یک نسخه فقط‌خواندنی پشت یک حساب برنامه با دسترسی تنگ، افشا ممکن است برای یک روز قابل تحمل باشد. برای هر چیز قابل نوشتن این معاوضه‌ای نیست که ارزش نام بردن داشته باشد و نشانی‌های خروجی چرخشی آن را بدتر می‌کنند: هر تغییر سرور قاعده را می‌شکند و نگهداری، ورودی‌های گسترده CIDR را دعوت می‌کند که هدف فهرست مجاز را از بین می‌برد.

نشانی‌های اختصاصی یا ثابت، جایی که ارائه‌دهنده آن‌ها را می‌فروشد، تنها نسخه‌ای از این هستند که مقیاس می‌یابند. فهرست مجاز را به نشانی‌ای که فقط مال شماست گره بزنید، یا اصلاً گره نزنید.

هر چه انتخاب کنید، مسیر و دلیل را بنویسید. نفر بعدی با همان اتصال در حال بازنشانی روبه‌رو می‌شود و شروع می‌کند به سرزنش برنامه.