SQL oer VPN: direkte klant of in ynterne wurkstasjon?

Teams wolle SSMS op har laptops, en de flugge oplossing is it SQL-port oan de VPN-pool te publisearjen. It stadiger antwurd freget wêr't it klantproses rinne moat, om't direkte tagong en in ynterne wurkstasjon ferskate boarneadressen, einpuntfertrouwen en datapaden opsmite. Gjin fan beide is automatysk feilich, en VPN-lidmaatskip allinnich beslút neat. Ferlykje de ûntwerpen foardat der in tasteanregel bestiet.

Twa paden, twa boarneadressen

By direkte tagong draacht de laptop de klantkonfiguraasje en iepenet sels de databankferbining. By in fjirde wurkstasjon iepenet de laptop in buroblêdsesje, en it wurkstasjon makket de SQL-ferbining fan syn eigen adres. De databank sjocht dus de VPN-pool of in oersetten gateway yn it earste ûntwerp, en it adres fan it wurkstasjon yn it twadde. Dat ferskil beslút hokker firewallregel en hokker SQL-rjocht echt jilde.

De laptop bliuwt de fjirde sesje behearskje, dus in wurkstasjon ferfangt gjin brûkersautentikaasje of sesjebelied.

Kontrolearje wat de databank echt sjocht

It boarneadres is eat om te mjitten yn stee fan út in diagram ôf te lieden. Lês it oan de tsjinnerkant fan in libbene ferbining.

Test-NetConnection sql.example.com -Port 1433
sqlcmd -S tcp:sql.example.com,1433 -N -d appdb -Q "select SUSER_SNAME() as login_name, DB_NAME() as db"

De ferbiningstest bewissiget dat de lústerder TCP fan dat netwurk akseptearret, wylst de fraach bewissiget hokker oanmelding en databank de sesje berikt hat. Om it adres te sjen dat de tsjinner fêstlein hat, freegje sys.dm_exec_connections op foar de hjoeddeiske sesje, wat it klantadres nei elke oersetting weromjout. As dy wearde in gateway is en net de laptop, kin in hostregel per brûker net wurkje op 'e databankmasine. Skriuw de waarnommen wearde njonken it keazen ûntwerp, om't werferbiningen en poolferoarings it ferpleatse.

Iepenje de lústerder en neat mear

Iepenje allinnich de tsjinst dy't de útrol nedich hat. De bekende 1433 is de poarte fan 'e standerteksimplaar, net in universele konstante.

Get-NetTCPConnection -State Listen -LocalPort 1433

Neamde eksimplaren lústerje faak op in dynamyske poarte, wêrby't SQL Server Browser ûntdekking op UDP 1434 beantwurdet, en dy ôfhinklikens is in aparte bleatstelling dy't rjochtfeardige wurde moat. It fêstsetten fan in fêste poarte foar it eksimplaar hellet de needsaak foar Browser fuort en makket firewallregels stabyl. Hâld de fersiferings- en sertifikaatkontrôles dy't de klant al docht, yn stee fan se út te skeakeljen om in test te slagjen. Jou dan databankrollen foar de wurklêst, yn stee fan de hiele VPN-groep oan in tsjinnerrol ta te foegjen.

Bewissigje it tastiene paad en it wegere

Iepenje in nije sesje as in gewoane goedkarde brûker, en befêstigje de identiteit fan 'e tsjinner, de databank en de easke operaasje. Befêstigje dan de útsluting: in boarne of akkount bûten it belied moat deselde test misse. Foar it wurkstasjonûntwerp, ferifiearje dat de laptop de grins net omsile kin troch de databank direkt te berikken. Foar direkte tagong, ferifiearje dat de rûte en boarneregel nei in werferbining noch jilde.

Skriuw op wêr't de klant rûn, hokker boarne de databank waarnommen hat en hokker regel it tastean hat. Dat is it bewiis dat de folgjende beoardieling freegje sil.