Blokket in kommersjele VPN poarte 5432? Fergelykje jo opsjes

De applikaasje prate elke dei fan it kantoar ôf mei syn databank. Doe skeakele immen de kommersjele VPN-klant yn op deselde laptop, en de ferbining begûn te resetten nei de hânskud. Neat yn 'e applikaasje feroare, de tunnel rapportearret sûn, en de firewall dy't jo beheare hat gjin blokkearjende regel. Wat feroare is it útpaad: servers fan 'e oanbieder binne dielde einpunten mei heech ferkear, en oanbieders filterje útgeande poarten om misbrûk te ferminderjen. Databank- en e-postferstjoerpoarten krije it measte, omdat dy poarten skenning en spam fan in anonime adrespul lûke.

De test fan fiif minuten dy't filtering fan al it oare skiedt

Fan deselde masine, ûndersykje ien poarte dy't iepen wêze moat en de poarte dy't mislearret, op deselde host, mei de tunnel oan en dan út. Brûk beide kearen deselde opdracht, sadat de iennige fariabele de tunnel is:

Test-NetConnection db.example.com -Port 443
Test-NetConnection db.example.com -Port 5432
nc -vz -w3 db.example.com 5432

Fjouwer útkomsten dekke hast elk gefal. As 443 wurket en 5432 mislearret allinnich mei de tunnel oan, sjogge jo poartefiltering op it útpaad. As beide mislearje mei de tunnel oan en beide wurkje sûnder, is it probleem routing of DNS, net poartebelied. As beide poarten ferbine mar de applikaasje mislearret noch, is de flater autentikaasje of TLS, net berikberens. En as allinnich ien serverlokaasje fan 'e oanbieder mislearret, is it belied per server, dus probearje in oare lokaasje foardat jo hokker konfiguraasje dan ek oanreitsje.

Opsje ien: split-tunnel foar it databanksubnet

As de laptop de kommersjele VPN allinnich foar oare doelen nedich hat, slút dan it adresberik fan 'e databank út fan 'e tunnel, sadat ferkear nea yn 'e dielde útgong komt. Dit is de skjinste opsje as de twa paden wier net byinoar hoege te kommen, en it kostet neat oars as in routingregel dy't jo dokumintearje kinne. De kompromis is dat split-tunnel in twadde beliedsoerflak yntrodusearret: wat fan 'e tunnel útsletten is, moat bewust wêze, net in byeffekt fan in subnet dat immen letter tafoege hat.

It hâldt op te wurkjen op it stuit dat de databank yn it netwurk leit dat de VPN berikke moat, dus kontrolearje dat foardat jo jo dêroan ferbine.

Opsje twa: jo eigen einpunt, jo eigen útgong

In lyts VPN-einpunt op in VPS draaie jout jo kontrôle oer it útgongsbelied, en der is gjin dielde pul by belutsen. Dit is de opsje dy't earlik fergelike wurde moat mei de kommersjele klant: jo winne in foarsisber boarneadres en ferlieze de wrâldwide fuotprint en it gemak fan 'e oanbieder. Foar in team dat de hiele dei databank- en e-postpoarten nedich hat, falt de kompromis meastentiids yn it foardiel fan it besit fan it einpunt, omdat de flatermodus jo eigen ferkearde konfiguraasje wurdt ynstee fan it misbrûkbelied fan immen oars.

Fergelykje de beide op stabiliteit fan it boarneadres, wa't jo ferkear lêze kin, en wat der bart op 'e dei dat de oanbieder fan it einpunt syn eigen filtering feroaret.

Opsje trije: helje de laptop út it paad

In CI-taak, in plande container of in bastionhost yn it tastiene netwurk hinget net ôf fan 'e tunnelstatus fan in minske. Berik de databank fia SSH-tunnel fan in host ôf dy't al tastien is, en de laptop praat nea direkt mei de poarte. Dit is de opsje dy't skalearret as ferskate minsken deselde beheining treffe, en it is ek dy't it probleem fuorthellet ynstee fan it te omgean.

It is mear wurk foarôf as in split-tunnelregel, en it helpt de iene persoan net dy't no in ynteraktive sesje nedich hat.

Wêrom't it setten fan it adres fan 'e oanbieder op in tastiene list de ferkearde fergeliking is

It tafoegjen fan it útgongsadres fan 'e oanbieder oan in databank-tastiene list wurket, en it jout ek tagong oan elke oare abonnee dy't dat adres op dat stuit dielt. Foar in allinnich-lêzen replika efter in nau ferliende applikaasje-account kin de bleatstelling foar in dei tolerabel wêze. Foar alles wat skriuwber is, is it gjin kompromis dy't it neamen wurdich is, en rotearjende útgongsadressen meitsje it slimmer: elke serverferoaring brekt de regel, en it ûnderhâld noeget brede CIDR-ynfieringen út dy't it doel fan in tastiene list tenietdogge.

Tawijde of statyske adressen, dêr't de oanbieder se ferkeapet, binne de iennige ferzje hjirfan dy't skalearret. Keppelje de tastiene list oan in adres dat allinnich fan jo is, of keppelje it hielendal net.

Wat jo ek kieze, skriuw it paad en de reden op. De folgjende persoan sil deselde resetende ferbining treffe en sil de applikaasje begjinne te beskuldigjen.