Que enderezo ve un cortalumes na nube cando a VPN está activa
Un túnel completo cambia o enderezo de orixe que ve a túa base de datos. Move a lista de permitidos, a ruta privada ou o túnel dividido, non a credencial.
Unha base de datos que funciona antes de que se conecte a VPN e falla despois raramente é un problema de credenciais. Os cortalumes na nube comparan enderezos de orixe, e un túnel completo substitúe o que estaban comparando. A diferenza entre o que cres que envía o teu portátil e o que recibe o servidor é todo o fallo, e pódese medir nun só paso.
En que se converte o enderezo de orixe
Nun túnel completo, cada paquete sae pola pasarela VPN, así que o servidor ve o enderezo de saída da pasarela en vez da túa conexión doméstica. Se hai un proxy directo na ruta, o que chega é o seu enderezo. Ambos son fontes lexítimas, e ningún é o enderezo da túa regra orixinal.
As regras de cortalumes de Azure SQL a nivel de servidor e de base de datos comparan o enderezo do cliente que chega ao servidor lóxico, que tras un túnel completo é o enderezo de saída. Un grupo de seguridade de AWS que permite un único enderezo compórtase igual. O paquete descártase antes da autenticación, así que o erro que recibes parece un fallo de rede en lugar dun problema de permisos. É exactamente por iso que a xente comeza a restablecer contrasinais.
Onde se decide a lista de permitidos
Le a regra que coincide coa ruta que falla, non a regra que recordas ter creado. Anota o seu alcance, o seu porto, o seu protocolo e se se avalía antes de calquera comprobación de identidade.
Despois decide que capa posúe lexitimamente a decisión. Unha regra de enderezo responde de onde vén o tráfico. Un punto final privado responde se o servizo é accesible por unha ruta privada. Unha excepción de túnel dividido responde que destinos evitan o túnel. Non son intercambiables, e cada unha falla de forma distinta cando cambia o túnel.
Tres reparacións, tres capas
Cada opción de abaixo corrixe o fluxo por un motivo distinto, e escoller a incorrecta produce unha conexión que funciona ata o seguinte cambio de pasarela.
| Repair | Layer it changes | What it does not fix |
|---|---|---|
| Add the egress address to the rule | Source address matching | Nothing about routing, and it breaks when the egress moves |
| Use a private endpoint | Whether the service is reached privately | A client that still resolves the public name |
| Add a split-tunnel exception | Which flows bypass the tunnel | An expired credential or a wrong password |
Engadir o enderezo de saída é o cambio máis pequeno e o máis fráxil, porque unha pasarela nova ou unha rexión distinta invalídano en silencio. Documenta o enderezo xunto á definición do túnel para que ambos se movan xuntos. Un rango amplo temporal é un diagnóstico, non unha reparación; deixalo no seu sitio é como os servizos internos acaban expostos.
Por que unha plataforma xestionada non pode unirse ao túnel
Plataformas de aplicacións como Heroku, AppHarbor ou CloudBees executan o teu código nun ambiente sen dispositivo tun ou tap e sen privilexios para crear un. O seu modelo de entrada é HTTP e non un socket de escoita arbitrario. Un buildpack que inclúe un binario de VPN segue sen ter onde poñer a interface. Os patróns viables son un enderezo de saída estático que a base de datos poida permitir, un produto de conexión privada que ofreza a plataforma ou un proxy nunha DMZ á que se chegue por HTTPS.
Ese proxy é unha ruta de acceso coa súa propia autenticación e rexistro. Non converte a plataforma nun membro da túa VPN, e describilo así produce regras que ninguén pode auditar.
Verifica desde o cliente que fallou
Volve conectar e repite a ruta exacta do cliente. Comproba o enderezo de orixe que rexistra o servizo, a ruta que o cliente escolle para o nome da base de datos e o resultado da consulta real, nesa orde. Unha proba desde a pasarela demostra que a pasarela funciona, algo que nunca estivo en dúbida. Se a conexión agora se autentica e a consulta segue fallando, o problema restante é o permiso da base de datos.
Revisa estas regras sempre que cambie o túnel. Unha pasarela substituída ou un novo rango de saída rompen a ruta sen ningún cambio na configuración da aplicación.