Hokker adres in wolkfirewall sjocht as jo VPN oan is
In folsleine tunnel feroaret it boarne-adres dat jo database sjocht. Ferpleats de list fan tastiene adressen, it partikuliere paad of de splitst tunnel, net de oanmeldgegevens.
In database dy’t wurket foar’t de VPN ferbynt en dêrnei mislearret, is selden in oanmeldprobleem. Wolkfirewalls ferlykje boarne-adressen, en in folsleine tunnel ferfangt krekt dy’t se ferliken. It gat tusken wat jo tinke dat jo laptop stjoert en wat de server ûntfangt is de hiele flater, en it is mjitber yn ien stap.
Wat it boarne-adres wurdt
Yn in folsleine tunnel ferlit elk pakket it netwurk troch de VPN-gateway, sadat de server it útgongsadres fan ’e gateway sjocht ynstee fan jo thúsferbining. As der in foarút-proxy yn it paad sit, is it syn adres dat oankomt. Beide binne legitime boarnen, en gjinien is it adres yn jo oarspronklike regel.
Azure SQL syn firewallregels op servernivo en databasenivo ferlykje it kliïntadres dat de logyske server berikt, dat nei in folsleine tunnel it útgongsadres is. In AWS-feiligensgroep dy’t ien adres tastean, hâldt him itselde. It pakket wurdt foar autentikaasje weilitten, sadat de flater dy’t jo weromkrije lykst op in netwurkstoring ynstee fan in tastimmingsprobleem. Dat is krekt wêrom’t minsken wachtwurden begjinne te weromsetten.
Wêr’t de list fan tastiene adressen beslist wurdt
Lês de regel dy’t by it mislearjende paad past, net de regel dêr’t jo jo fan betinke dat jo dy makke hawwe. Tink oan it berik, de haven, it protokol en oft it foar elke identiteitskontrôle beoardiele wurdt.
Beslis dan hokker laach it beslút legitimerwiis besit. In adresregel antwurdet wêr’t ferkear wei komt. In partikulier einpunt antwurdet oft de tsjinst oer in partikulier paad berikber is. In útsûndering foar splitst tunnel antwurdet hokker bestimmingen de tunnel foarby geane. Se binne net útwikselber, en elk mislearret oars as de tunnel feroaret.
Trije reparaasjes, trije lagen
Elke opsje hjirûnder reparearret de stream om in oare reden, en de ferkearde kieze leveret in ferbining op dy’t wurket oant de folgjende gateway-feroaring.
| Repair | Layer it changes | What it does not fix |
|---|---|---|
| Add the egress address to the rule | Source address matching | Nothing about routing, and it breaks when the egress moves |
| Use a private endpoint | Whether the service is reached privately | A client that still resolves the public name |
| Add a split-tunnel exception | Which flows bypass the tunnel | An expired credential or a wrong password |
It útgongsadres tafoegje is de lytste feroaring en de meast brekbere, want in nije gateway of in oare regio makket it stilûntsjildich. Dokumintearje it adres neist de tunneldefinysje sadat de beide tegearre bewege. In tydlik breed berik is in diagnoaze, gjin reparaasje; it litte stean is hoe’t ynterne tsjinsten úteinlik bleat komme te stean.
Wêrom’t in beheard platfoarm net by de tunnel komme kin
Tapassingsplatfoarmen lykas Heroku, AppHarbor of CloudBees rinne jo koade yn in omjouwing sûnder tun- of tap-apparaat en sûnder rjochten om ien te meitsjen. Harren ynkommende model is HTTP, net in willekeurige harkjende socket. In buildpack dat in VPN-binêre leveret, hat noch hieltyd gjin plak foar de ynterface. De wurkbere patroanen binne in statysk útgongsadres dat de database tastean kin, in partikulier ferbining-produkt dat it platfoarm biedt, of in proxy yn in DMZ berikber oer HTTPS.
Dy proxy is in tagongspaad mei syn eigen autentikaasje en logging. It makket it platfoarm net lid fan jo VPN, en it sa beskriuwe leveret regels op dy’t nimmen kontrolearje kin.
Ferifiearje fan ’e klient dy’t mislearre
Ferbynje opnij en werhelje it krekte klientpaad. Kontrolearje it boarne-adres dat de tsjinst logt, de rûte dy’t de klient foar de databasenamme kiest, en it resultaat fan ’e werklike fraach, yn dy folchoarder. In test fan ’e gateway bewiist dat de gateway wurket, wat nea twifelich wie. As de ferbining no autentisearret en de fraach noch mislearret, is it oerbleaune probleem de databasetastimming.
Neisjoch dizze regels eltse kear as de tunnel feroaret. In ferfongen gateway of in nij útgongsberik brekt it paad sûnder hokker feroaring dan ek yn ’e konfiguraasje fan ’e tapassing.