Blokira li komercijalni VPN port 5432? Usporedite svoje mogućnosti

Aplikacija je svakog dana razgovarala sa svojom bazom podataka iz ureda. Zatim je netko uključio komercijalni VPN klijent na istom prijenosniku i veza se počela resetirati nakon rukovanja. Ništa u aplikaciji nije promijenjeno, tunel prijavljuje da je zdrav, a vatrozid koji kontrolirate nema pravilo blokiranja. Ono što se promijenilo je izlazna putanja: poslužitelji davatelja dijeljene su završne točke visokog obima, a davatelji filtriraju odlazne portove kako bi smanjili zlouporabu. Portovi baza podataka i slanja pošte dobivaju najveći dio toga, jer su to portovi koji privlače skeniranje i spam iz anonimnog skupa adresa.

Test od pet minuta koji razdvaja filtriranje od svega ostalog

S istog stroja provjerite jedan port koji mora biti otvoren i port koji zakaže, na istom hostu, s uključenim pa isključenim tunelom. Koristite istu naredbu u oba slučaja kako bi jedina varijabla bio tunel:

Test-NetConnection db.example.com -Port 443
Test-NetConnection db.example.com -Port 5432
nc -vz -w3 db.example.com 5432

Četiri ishoda pokrivaju gotovo svaki slučaj. Ako 443 radi, a 5432 zakaže samo s uključenim tunelom, gledate filtriranje portova na izlaznoj putanji. Ako oba zakažu s tunelom i oba rade bez njega, problem je u usmjeravanju ili DNS-u, a ne u politici portova. Ako se oba porta spoje ali aplikacija i dalje zakaže, greška je u autentifikaciji ili TLS-u, ne u dostupnosti. A ako zakaže samo jedna lokacija poslužitelja davatelja, to je politika po poslužitelju, pa pokušajte drugu lokaciju prije nego što dirate bilo koju konfiguraciju.

Mogućnost jedan: split tunel za podmrežu baze podataka

Ako prijenosniku komercijalni VPN treba samo za druge svrhe, isključite raspon adresa baze podataka iz tunela tako da promet nikada ne uđe na dijeljeni izlaz. Ovo je najčišća mogućnost kada dvije putanje doista ne trebaju se sresti, i ne košta ništa osim pravila usmjeravanja koje možete dokumentirati. Kompromis je u tome što split tunel uvodi drugu površinu politike: ono što je isključeno iz tunela mora biti namjerno, a ne nuspojava podmreže koju je netko dodao kasnije.

Prestaje raditi u trenutku kada baza podataka živi unutar mreže do koje VPN treba doći, pa to provjerite prije nego što se odlučite.

Mogućnost dva: vaša završna točka, vaš izlaz

Pokretanje male VPN završne točke na VPS-u stavlja izlaznu politiku pod vašu kontrolu i ne uključuje dijeljeni skup. To je mogućnost koju vrijedi iskreno usporediti s komercijalnim klijentom: dobivate predvidljivu izvornu adresu i gubite globalni otisak i udobnost davatelja. Za tim kojem su portovi baze podataka i pošte potrebni cijeli dan, kompromis obično ide u korist posjedovanja završne točke, jer način zatajenja postaje vaša vlastita pogrešna konfiguracija, a ne tuđa politika zlouporabe.

Usporedite ih po stabilnosti izvorne adrese, po tome kome je dostupan vaš promet i po tome što se događa na dan kada davatelj završne točke promijeni vlastito filtriranje.

Mogućnost tri: izmjestite prijenosnik iz putanje

CI posao, zakazani kontejner ili bastion host unutar dopuštene mreže ne ovisi o tunelskom stanju čovjeka. Dođite do baze podataka SSH tunelom s hosta koji je već dopušten i prijenosnik nikada ne razgovara izravno s portom. Ovo je mogućnost koja skalira kada više ljudi udari u isto ograničenje, a i ona koja uklanja problem umjesto da ga obilazi.

Zahtijeva više rada unaprijed od pravila split tunela i ne pomaže onoj jednoj osobi kojoj je interaktivna sesija potrebna sada.

Zašto je dodavanje adrese davatelja na popis dopuštenih pogrešna usporedba

Dodavanje izlazne adrese davatelja na popis dopuštenih za bazu podataka funkcionira i također daje pristup svakom drugom pretplatniku koji u tom trenutku dijeli tu adresu. Za repliku samo za čitanje iza usko dodijeljenog računa aplikacije, izloženost bi mogla biti podnošljiva jedan dan. Za sve što je upisivo to nije kompromis vrijedan imena, a rotirajuće izlazne adrese pogoršavaju stvar: svaka promjena poslužitelja krši pravilo, a održavanje poziva široke CIDR unose koji poništavaju svrhu popisa dopuštenih.

Namjenske ili statične adrese, tamo gdje ih davatelj prodaje, jedina su verzija ovoga koja skalira. Vežite popis dopuštenih za adresu koja je samo vaša, ili ga ne vežite uopće.

Što god odabrali, zapišite putanju i razlog. Sljedeća će osoba sresti istu vezu koja se resetira i počet će kriviti aplikaciju.