Cliant bunachar sonraí áitiúil, RDS príobháideach: cén fáth a dtéann an nasc thar am

Téann ríomhaire glúine forbróra thar am agus é ag nascadh le pointe deiridh príobháideach RDS, cé go n-oibríonn na dintiúir chéanna ó óstach bastion. Níl aon rud síos. Tá ceann de thrí rud in easnamh ar an mbealach idir an ríomhaire sin agus an bunachar sonraí: ainm a réitíonn, bealach a iompraíonn an trácht, nó riail ghrúpa slándála a admhaíonn an fhoinse a fheiceann an bunachar sonraí i ndáiríre. Faigh amach cé acu atá in easnamh sula n-athraíonn tú an dá cheann eile.

Léigh an teip ag an gciseal cheart

Ní aon earráid amháin é dul thar am. Teipeann ainm nach réitíonn sula bhfágann paicéad an meaisín. Seolann seoladh gan bealach paicéid isteach i bpoll dubh. Cruthaíonn port scagtha fanacht atá cosúil go díreach le hóstach mícheart. Rith na céimeanna in ord agus stop ag an gcéad cheann a theipeann.

dig +short db.internal.example
nc -vz db.internal.example 5432

Má fhilleann an t-ainm seoladh poiblí, nó mura bhfilleann sé aon rud, ní hé an tollán an fhadhb fós.

Má réitíonn an t-ainm agus má fhanann an tástáil phoirt, cuir an seoladh a réitigh tú i gcomparáid leis an seoladh a thuairiscíonn an bunachar sonraí. Is féidir le pointe deiridh bainistithe réiteach go seoladh príobháideach laistigh den VPC agus go dtí aon rud úsáideach lasmuigh de, agus díreoidh seoladh a cóipeáladh ó sheanchuardach chuig óstach nach bhfreagraíonn a thuilleadh.

Scar an tollán ón mbealach

Ní stiúrann nascadh VPN cliaint gach raon príobháideach go huathoibríoch. Iompraíonn an próifíl na bealaí a bhrúnn an tseirbhís, agus b’fhéidir nach suiteálfaidh an cliant ach cuid acu. Féach cé na raonta a chuir an cliant leis i ndáiríre agus an dtiteann seoladh an bhunachair sonraí laistigh de cheann acu.

ip route get 10.20.40.15
ip addr show tun0

Tá bealach a dhíríonn ar chomhéadan an tolláin riachtanach; níl sé leordhóthanach, mar caithfidh an taobh thall an trácht a ghlacadh fós.

Próifílí tolláin scoilte an fhoinse is gnáth leis an teip leath seo. Oibríonn siad don fheidhmchlár ar cinneadh an phróifíl dó agus fágann siad raon an bhunachair sonraí lasmuigh den tollán, rud a tháirgeann go díreach an dul thar am a tháirgfeadh balla dóiteáin.

Meaitseáil an grúpa slándála leis an bhfíorfhoinse

Admhaíonn grúpa slándála RDS foinsí, ní daoine. Ag brath ar an ailtireacht, d’fhéadfadh an fhoinse a bheith ina comhthiomsú cliant VPN, ina seoladh príobháideach bastion, nó ina sheoladh NAT a n-aistrítear an trácht chuige. Léigh an riail agus fíorfhoinse an phaicéid le chéile.

aws ec2 describe-security-groups --group-ids sg-0123456789abcdef0 \
  --query 'SecurityGroups[].IpPermissions'

Is fadhb chothabhála í riail do sheoladh baile ríomhaire glúine amháin, ní dearadh rochtana.

Nuair a bhíonn VPN cliaint nó geata NAT sa bhealach, d’fhéadfadh an bunachar sonraí seoladh an aistritheora a fheiceáil in ionad sheoladh tolláin an fhorbróra. Sin é an fáth a d’fhéadfadh riail a cóipeáladh ó shocrú bastion oibre teip ar ríomhaire glúine: tagann an dá bhealach ó fhoinsí difriúla cé go bhféachann an dá cheann inmheánach.

Roghnaigh bealach caol thar cheann leathan

Nuair a bhíonn bunachar sonraí amháin ag teastáil ó fhorbróir amháin, is minic go mbíonn seoladh ar aghaidh bunaithe ar sheisiún níos saoire a oibriú ná tollán líonra iomlán. Nascann an cliant áitiúil le port a seoladh ar aghaidh, agus déanann an chomhpháirt chianda nasc an bhunachair sonraí ó laistigh den líonra.

ssh -N -L 5432:db.internal.example:5432 bastion.internal.example

Coinnigh fíorú TLS slán sa dearadh sin. Ba cheart don chliant deimhniú an fhreastalaí a bhailíochtú fós i gcoinne an ainm a mbíonn sé ag súil leis; ní cúis é port seolta ar aghaidh áitiúil chun fíorú a dhíchumasú, agus cealaíonn díchumasú é go díreach an fhadhb aitheantais is fiú a ghabháil.

Is cinneadh faoin raon feidhme é an rogha idir tollán iomlán agus seoladh caol ar aghaidh, ní faoi amharclann slándála.

Fág bealach in-athdhéanta i do dhiaidh

Déan doiciméadú ar ainm an phointe deiridh seachas ar sheoladh réitithe, ar an raon foinse a admhaíonn an grúpa slándála, agus ar ról an bhunachair sonraí a úsáideann an forbróir. Míníonn na trí fhíric sin an chuid is mó de na teipeanna amach anseo gan glao. Cuir leagan phróifíl an chliaint leis freisin, mar is féidir le hathrú próifíle bealach a bhaint a d’iompair an seanphróifíl.

Ansin tástáil an cás diúltach uair amháin: ba cheart cliant lasmuigh den fhoinse cheadaithe a dhiúltú fós.

Ní rochtain phríobháideach é bunachar sonraí príobháideach nach n-oibríonn ach don duine a shocraigh é; is eisceacht neamhdhoiciméadaithe é atá ag fanacht le hathfhionnadh. Scríobh an bealach síos, agus tiocfaidh an chéad fhorbróir eile i dtír ar mhodh in ionad ar rúndiamhair.