VPN પર SQL: સીધો ક્લાયન્ટ કે આંતરિક વર્કસ્ટેશન?

ટીમોને તેમના લેપટોપ પર SSMS જોઈએ છે, અને ઝડપી ઉકેલ SQL પોર્ટને VPN પૂલ પર પ્રકાશિત કરવાનો છે. ધીમો જવાબ પૂછે છે કે ક્લાયન્ટ પ્રક્રિયા ક્યાં ચાલવી જોઈએ, કારણ કે સીધી ઍક્સેસ અને આંતરિક વર્કસ્ટેશન અલગ સ્રોત સરનામાં, એન્ડપોઇન્ટ વિશ્વાસ અને ડેટા માર્ગો બનાવે છે. બંનેમાંથી કોઈ આપમેળે સુરક્ષિત નથી, અને ફક્ત VPN સભ્યપદ કંઈ નક્કી કરતું નથી. પરવાનગી નિયમ અસ્તિત્વમાં આવે તે પહેલાં ડિઝાઇનની સરખામણી કરો.

બે માર્ગ, બે સ્રોત સરનામાં

સીધી ઍક્સેસમાં લેપટોપ ક્લાયન્ટ રૂપરેખાંકન ધરાવે છે અને જાતે ડેટાબેઝ કનેક્શન ખોલે છે. રિમોટ વર્કસ્ટેશનમાં લેપટોપ ડેસ્કટોપ સત્ર ખોલે છે, અને વર્કસ્ટેશન પોતાના સરનામેથી SQL કનેક્શન બનાવે છે. તેથી પ્રથમ ડિઝાઇનમાં ડેટાબેઝ VPN પૂલ અથવા અનુવાદિત ગેટવે જુએ છે, અને બીજામાં વર્કસ્ટેશનનું સરનામું જુએ છે. એ ભેદ જ નક્કી કરે છે કે કયો ફાયરવોલ નિયમ અને કઈ SQL પરવાનગી ખરેખર લાગુ પડે છે.

લેપટોપ હજી પણ રિમોટ સત્ર નિયંત્રિત કરે છે, તેથી વર્કસ્ટેશન વપરાશકર્તા પ્રમાણીકરણ કે સત્ર નીતિનો વિકલ્પ નથી.

ડેટાબેઝ ખરેખર શું જુએ છે તે તપાસો

સ્રોત સરનામું માપવાની વસ્તુ છે, આકૃતિમાંથી અનુમાન કરવાની નહીં. તેને જીવંત કનેક્શનની સર્વર બાજુથી વાંચો.

Test-NetConnection sql.example.com -Port 1433
sqlcmd -S tcp:sql.example.com,1433 -N -d appdb -Q "select SUSER_SNAME() as login_name, DB_NAME() as db"

કનેક્ટિવિટી પરીક્ષણ સાબિત કરે છે કે શ્રોતા તે નેટવર્કથી TCP સ્વીકારે છે, જ્યારે ક્વેરી સાબિત કરે છે કે સત્ર કયા લોગિન અને ડેટાબેઝ સુધી પહોંચ્યું. સર્વરે નોંધેલું સરનામું જોવા માટે વર્તમાન સત્ર માટે sys.dm_exec_connections ની ક્વેરી કરો, જે કોઈપણ અનુવાદ પછી ક્લાયન્ટ સરનામું પરત આપે છે. જો એ મૂલ્ય લેપટોપ નહીં પણ ગેટવે હોય, તો પ્રતિ-વપરાશકર્તા હોસ્ટ નિયમ ડેટાબેઝ મશીન પર કામ કરી શકતું નથી. અવલોકિત મૂલ્યને પસંદ કરેલી ડિઝાઇનની બાજુમાં લખો, કારણ કે ફરી-કનેક્શન અને પૂલ ફેરફારો તેને ખસેડે છે.

શ્રોતા ખોલો અને વધારાનું કંઈ નહીં

ફક્ત તે જ સેવા ખોલો જે તૈનાતીને જોઈએ છે. પરિચિત 1433 ડિફોલ્ટ ઇન્સ્ટન્સનો પોર્ટ છે, સાર્વત્રિક સ્થિરાંક નહીં.

Get-NetTCPConnection -State Listen -LocalPort 1433

નામવાળા ઇન્સ્ટન્સ ઘણી વાર ગતિશીલ પોર્ટ પર સાંભળે છે, SQL Server Browser UDP 1434 પર શોધનો જવાબ આપે છે, અને એ નિર્ભરતા એક અલગ એક્સપોઝર છે જેને ન્યાયી ઠેરવવો પડે. ઇન્સ્ટન્સ માટે નિશ્ચિત પોર્ટ પિન કરવાથી Browserની જરૂરિયાત દૂર થાય છે અને ફાયરવોલ નિયમો સ્થિર બને છે. પરીક્ષણ પાસ કરવા માટે ક્લાયન્ટ પહેલેથી કરતું એન્ક્રિપ્શન અને પ્રમાણપત્ર તપાસ બંધ કરવાને બદલે રાખો. પછી આખા VPN જૂથને સર્વર ભૂમિકામાં ઉમેરવાને બદલે વર્કલોડ માટે ડેટાબેઝ ભૂમિકાઓ આપો.

મંજૂર માર્ગ અને નકારેલા માર્ગને સાબિત કરો

સામાન્ય મંજૂર વપરાશકર્તા તરીકે નવું સત્ર ખોલો અને સર્વર ઓળખ, ડેટાબેઝ અને જરૂરી કામગીરીની પુષ્ટિ કરો. પછી બાકાતની પુષ્ટિ કરો: નીતિની બહારનો સ્રોત કે ખાતું એ જ પરીક્ષણમાં નિષ્ફળ જવું જોઈએ. વર્કસ્ટેશન ડિઝાઇન માટે, ચકાસો કે લેપટોપ સીધું ડેટાબેઝ સુધી પહોંચીને સીમા ટાળી શકતું નથી. સીધી ઍક્સેસ માટે, ચકાસો કે ફરી-કનેક્શન પછી પણ માર્ગ અને સ્રોત નિયમ ટકે છે.

ક્લાયન્ટ ક્યાં ચાલ્યો, ડેટાબેઝે કયો સ્રોત જોયો અને કયા નિયમે પરવાનગી આપી તે નોંધો. આ તે પુરાવો છે જે આગલી સમીક્ષા માંગશે.