SQL VPN-en át: közvetlen kliens vagy belső munkaállomás?

A csapatok SSMS-t akarnak a laptopjaikon, és a gyors megoldás az SQL-port közzététele a VPN-készletben. A lassabb válasz azt kérdezi, hol kell a kliensfolyamatnak futnia, mert a közvetlen hozzáférés és a belső munkaállomás eltérő forráscímeket, végponti bizalmat és adatutakat hoz létre. Egyik sem automatikusan biztonságos, és a VPN-tagság önmagában semmit nem dönt el. Hasonlítsa össze a terveket, mielőtt engedélyezési szabály létezik.

Két út, két forráscím

Közvetlen hozzáférésnél a laptop hordozza a kliens konfigurációját, és maga nyitja az adatbázis-kapcsolatot. Távoli munkaállomásnál a laptop asztali munkamenetet nyit, és a munkaállomás saját címéről építi az SQL-kapcsolatot. Az adatbázis ezért az első tervben a VPN-készletet vagy egy lefordított átjárót lát, a másodikban a munkaállomás címét. Ez a különbség dönti el, melyik tűzfalszabály és melyik SQL-jogosultság érvényesül valójában.

A laptop továbbra is vezérli a távoli munkamenetet, így a munkaállomás nem helyettesíti a felhasználói hitelesítést vagy a munkamenet-szabályzatot.

Ellenőrizze, mit lát valójában az adatbázis

A forráscímet mérni kell, nem diagramból kikövetkeztetni. Olvassa le egy élő kapcsolat kiszolgálói oldalán.

Test-NetConnection sql.example.com -Port 1433
sqlcmd -S tcp:sql.example.com,1433 -N -d appdb -Q "select SUSER_SNAME() as login_name, DB_NAME() as db"

A kapcsolódási teszt bizonyítja, hogy a figyelő elfogad TCP-t abból a hálózatból, míg a lekérdezés bizonyítja, melyik bejelentkezésig és adatbázisig jutott a munkamenet. A kiszolgáló által rögzített cím megtekintéséhez kérdezze le a sys.dm_exec_connections az aktuális munkamenethez; ez bármilyen fordítás után visszaadja a kliens címét. Ha ez az érték egy átjáró és nem a laptop, akkor a felhasználónkénti gazdagépszabály nem működhet az adatbázis-gépen. Jegyezze fel a megfigyelt értéket a választott terv mellé, mert az újracsatlakozások és a készletváltozások elmozdítják.

Nyissa meg a figyelőt és semmi mást

Csak azt a szolgáltatást nyissa meg, amelyre az üzembe helyezésnek szüksége van. Az ismert 1433 az alapértelmezett példány portja, nem egyetemes állandó.

Get-NetTCPConnection -State Listen -LocalPort 1433

A megnevezett példányok gyakran dinamikus porton figyelnek, a SQL Server Browser pedig UDP 1434-en válaszol a felderítésre, és ez a függőség külön kitettség, amelyet indokolni kell. A példány fix portjának rögzítése megszünteti a Browser szükségességét, és stabillá teszi a tűzfalszabályokat. Tartsa meg a kliens által már végzett titkosítási és tanúsítvány-ellenőrzéseket, ahelyett hogy kikapcsolná őket egy teszt átmenete érdekében. Ezután adjon adatbázis-szerepköröket a munkaterhelésnek, ahelyett hogy az egész VPN-csoportot hozzáadná egy kiszolgálói szerepkörhöz.

Bizonyítsa az engedélyezett utat és a megtagadottat

Nyisson új munkamenetet hétköznapi jóváhagyott felhasználóként, és erősítse meg a kiszolgáló identitását, az adatbázist és a szükséges műveletet. Ezután erősítse meg a kizárást: a szabályzaton kívüli forrásnak vagy fióknak ugyanazon a teszten el kell buknia. A munkaállomás-tervnél ellenőrizze, hogy a laptop nem kerülheti meg a határt azzal, hogy közvetlenül eléri az adatbázist. Közvetlen hozzáférésnél ellenőrizze, hogy az útvonal és a forrásszabály újracsatlakozás után is érvényes.

Rögzítse, hol futott a kliens, milyen forrást figyelt meg az adatbázis, és melyik szabály engedte meg. Ez az a bizonyíték, amelyet a következő felülvizsgálat kérni fog.