क्या कोई व्यावसायिक VPN पोर्ट 5432 को ब्लॉक करता है? अपने विकल्पों की तुलना करें

एप्लिकेशन हर दिन ऑफ़िस से अपने डेटाबेस से बात करता था। फिर किसी ने उसी लैपटॉप पर व्यावसायिक VPN क्लाइंट चालू किया, और हैंडशेक के बाद कनेक्शन रीसेट होने लगा। एप्लिकेशन में कुछ नहीं बदला, टनल स्वयं को स्वस्थ बताती है, और आप जिस फ़ायरवॉल को नियंत्रित करते हैं उसमें कोई ब्लॉकिंग नियम नहीं है। जो बदला वह एग्ज़िट पथ है: प्रदाता के सर्वर साझा, उच्च-ट्रैफ़िक एंडपॉइंट हैं, और प्रदाता दुरुपयोग घटाने के लिए आउटबाउंड पोर्ट फ़िल्टर करते हैं। डेटाबेस और मेल सबमिशन पोर्ट इसका सबसे बड़ा हिस्सा लेते हैं, क्योंकि यही पोर्ट गुमनाम पता पूल से स्कैनिंग और स्पैम खींचते हैं।

पाँच मिनट का परीक्षण जो फ़िल्टरिंग को बाकी सब से अलग करता है

उसी मशीन से, एक पोर्ट जो खुला होना चाहिए और वह पोर्ट जो विफल होता है, उसी होस्ट पर, टनल चालू और फिर बंद रखकर जाँचें। दोनों बार वही कमांड इस्तेमाल करें ताकि एकमात्र चर टनल हो:

Test-NetConnection db.example.com -Port 443
Test-NetConnection db.example.com -Port 5432
nc -vz -w3 db.example.com 5432

चार परिणाम लगभग हर स्थिति को कवर करते हैं। अगर 443 काम करता है और 5432 केवल टनल चालू होने पर विफल होता है, तो आप एग्ज़िट पथ पर पोर्ट फ़िल्टरिंग देख रहे हैं। अगर टनल चालू होने पर दोनों विफल होते हैं और उसके बिना दोनों काम करते हैं, तो समस्या पोर्ट नीति नहीं, रूटिंग या DNS है। अगर दोनों पोर्ट जुड़ते हैं पर एप्लिकेशन अब भी विफल होता है, तो दोष पहुँच का नहीं, प्रमाणीकरण या TLS का है। और अगर प्रदाता का केवल एक सर्वर स्थान विफल होता है, तो यह प्रति-सर्वर नीति है, इसलिए कोई भी कॉन्फ़िगरेशन छूने से पहले दूसरा स्थान आज़माएँ।

विकल्प एक: डेटाबेस सबनेट के लिए स्प्लिट टनल

अगर लैपटॉप को व्यावसायिक VPN केवल अन्य उद्देश्यों के लिए चाहिए, तो डेटाबेस की पता श्रेणी को टनल से बाहर रखें ताकि ट्रैफ़िक कभी साझा एग्ज़िट में प्रवेश न करे। जब दोनों पथों को सचमुच मिलने की ज़रूरत न हो तो यह सबसे साफ़ विकल्प है, और इसका कोई ख़र्च उस रूटिंग नियम के अलावा नहीं है जिसे आप दस्तावेज़ित कर सकते हैं। सौदा यह है कि स्प्लिट टनलिंग दूसरी नीति सतह जोड़ती है: टनल से जो बाहर रखा गया है वह जानबूझकर होना चाहिए, बाद में किसी के जोड़े सबनेट का दुष्प्रभाव नहीं।

जिस क्षण डेटाबेस उस नेटवर्क के भीतर रहता है जहाँ VPN पहुँचना चाहिए, यह काम करना बंद कर देता है, इसलिए इसके लिए प्रतिबद्ध होने से पहले इसे जाँचें।

विकल्प दो: आपका अपना एंडपॉइंट, आपका अपना एग्रेस

VPS पर छोटा VPN एंडपॉइंट चलाने से एग्रेस नीति का नियंत्रण आपके हाथ में आता है, और कोई साझा पूल शामिल नहीं होता। यह वह विकल्प है जो व्यावसायिक क्लाइंट के साथ ईमानदारी से तुलना के योग्य है: आप एक पूर्वानुमेय स्रोत पता पाते हैं और प्रदाता की वैश्विक छाप और सुविधा खो देते हैं। जिस टीम को पूरे दिन डेटाबेस और मेल पोर्ट चाहिए, उसके लिए सौदा आम तौर पर एंडपॉइंट के स्वामित्व के पक्ष में झुकता है, क्योंकि विफलता का तरीका किसी और की दुरुपयोग नीति नहीं, आपका अपना ग़लत कॉन्फ़िगरेशन बन जाता है।

स्रोत पते की स्थिरता, आपका ट्रैफ़िक कौन पढ़ सकता है, और एंडपॉइंट का प्रदाता जिस दिन अपनी फ़िल्टरिंग बदलता है उस दिन क्या होता है, इन तीनों पर दोनों की तुलना करें।

विकल्प तीन: लैपटॉप को रास्ते से हटाएँ

एक CI कार्य, एक निर्धारित कंटेनर, या अनुमत नेटवर्क के भीतर एक बैस्टियन होस्ट किसी व्यक्ति की टनल स्थिति पर निर्भर नहीं होता। पहले से अनुमत होस्ट से SSH टनल के ज़रिए डेटाबेस तक पहुँचें, और लैपटॉप कभी सीधे पोर्ट से बात नहीं करता। यह वह विकल्प है जो तब स्केल करता है जब कई लोग एक ही प्रतिबंध से टकराते हैं, और यही समस्या को दरकिनार करने के बजाय हटा देता है।

यह स्प्लिट-टनल नियम से अधिक पहले से काम माँगता है, और उस एक व्यक्ति की मदद नहीं करता जिसे अभी इंटरैक्टिव सत्र चाहिए।

प्रदाता का पता अनुमति-सूची में डालना ग़लत तुलना क्यों है

डेटाबेस अनुमति-सूची में प्रदाता का एग्ज़िट पता जोड़ना काम करता है, और यह उस समय वह पता साझा करने वाले हर दूसरे ग्राहक को भी पहुँच देता है। संकीर्ण रूप से दिए गए एप्लिकेशन खाते के पीछे के केवल-पढ़ने वाले प्रतिकृति के लिए, एक दिन के लिए यह जोखिम सह्य हो सकता है। लिखे जा सकने वाली किसी भी चीज़ के लिए यह ऐसा सौदा नहीं है जिसका नाम लिया जाए, और घूमते एग्ज़िट पते इसे बदतर बनाते हैं: हर सर्वर बदलाव नियम तोड़ता है, और रखरखाव चौड़ी CIDR प्रविष्टियों को न्योता देता है जो अनुमति-सूची का उद्देश्य ही समाप्त कर देती हैं।

समर्पित या स्थिर पते, जहाँ प्रदाता उन्हें बेचता है, इसका एकमात्र संस्करण हैं जो स्केल करता है। अनुमति-सूची को ऐसे पते से जोड़ें जो केवल आपका हो, या बिल्कुल न जोड़ें।

आप जो भी चुनें, पथ और कारण लिख लें। अगला व्यक्ति उसी रीसेट होते कनेक्शन से मिलेगा और एप्लिकेशन को दोष देना शुरू कर देगा।