Melyik címet látja egy felhő tűzfal, amikor a VPN be van kapcsolva
A teljes alagút megváltoztatja a forráscímet, amelyet az adatbázisod lát. Az engedélyezési listát, a privát útvonalat vagy a megosztott alagutat mozgasd, ne a hitelesítő adatot.
Egy adatbázis, amely a VPN csatlakozása előtt működik, utána pedig meghiúsul, ritkán hitelesítőadat-probléma. A felhő tűzfalak forráscímeket párosítanak, a teljes alagút pedig éppen azt cseréli le, amelyet párosítottak. A különbség aközött, amit úgy hiszel, hogy a laptopod küld, és amit a kiszolgáló fogad, maga a teljes hiba, és egyetlen lépésben mérhető.
Mivé válik a forráscím
Teljes alagútban minden csomag a VPN-átjárón keresztül hagyja el a hálózatot, így a kiszolgáló az átjáró kimenő címét látja az otthoni kapcsolatod helyett. Ha egy továbbító proxy van az útvonalon, annak a címe érkezik meg. Mindkettő jogos forrás, és egyik sem az eredeti szabályodban szereplő cím.
Az Azure SQL kiszolgáló- és adatbázisszintű tűzfalszabályai a logikai kiszolgálót elérő ügyfélcímhez párosítanak, amely teljes alagút után a kimenő cím. Egyetlen címet engedélyező AWS biztonsági csoport ugyanígy viselkedik. A csomag a hitelesítés előtt eldobódik, ezért a visszakapott hiba hálózati hibának tűnik, nem jogosultsági problémának. Pontosan ezért kezdenek az emberek jelszavakat visszaállítani.
Hol dől el az engedélyezési lista
Azt a szabályt olvasd, amelyik a meghiúsuló útvonalhoz illik, ne azt, amelyet emlékszel, hogy létrehoztál. Jegyezd fel a hatókörét, a portját, a protokollját és azt, hogy kiértékelődik-e bármilyen identitásellenőrzés előtt.
Ezután döntsd el, melyik réteg birtokolja jogosan a döntést. Egy címre vonatkozó szabály arra válaszol, honnan jön a forgalom. Egy privát végpont arra válaszol, hogy a szolgáltatás egyáltalán elérhető-e privát útvonalon. A megosztott alagút kivétele arra válaszol, mely célpontok kerülik el az alagutat. Ezek nem cserélhetők fel, és mindegyik másképp hiúsul meg, amikor az alagút változik.
Három javítás, három réteg
Az alábbi lehetőségek mindegyike más okból javítja a folyamot, és a rossz választás olyan kapcsolatot eredményez, amely a következő átjáróváltásig működik.
| Repair | Layer it changes | What it does not fix |
|---|---|---|
| Add the egress address to the rule | Source address matching | Nothing about routing, and it breaks when the egress moves |
| Use a private endpoint | Whether the service is reached privately | A client that still resolves the public name |
| Add a split-tunnel exception | Which flows bypass the tunnel | An expired credential or a wrong password |
A kimenő cím hozzáadása a legkisebb változás és a legtörékenyebb, mert egy új átjáró vagy egy másik régió csendben érvényteleníti. Dokumentáld a címet az alagút definíciója mellett, hogy a kettő együtt mozogjon. Az ideiglenes széles tartomány diagnózis, nem javítás; a helyén hagyása az, ahogy a belső szolgáltatások végül nyitva maradnak.
Miért nem csatlakozhat egy felügyelt platform az alagúthoz
Az olyan alkalmazásplatformok, mint a Heroku, az AppHarbor vagy a CloudBees, a kódodat olyan környezetben futtatják, ahol nincs tun vagy tap eszköz, és nincs jogosultság létrehozni egyet. A bejövő modelljük HTTP, nem tetszőleges figyelő socket. Egy VPN binárist szállító buildpack továbbra sem talál helyet az interfésznek. A működő minták a statikus kimenő cím, amelyet az adatbázis engedélyezhet, a platform által kínált privát kapcsolati termék, vagy egy DMZ-ben lévő proxy, amelyet HTTPS-en érnek el.
Ez a proxy saját hitelesítéssel és naplózással rendelkező hozzáférési útvonal. Nem teszi a platformot a VPN-ed tagjává, és az ilyen leírás olyan szabályokat szül, amelyeket senki sem tud auditálni.
A meghiúsult ügyféltől ellenőrizd
Csatlakozz újra, és ismételd meg az ügyfél pontos útvonalát. Ellenőrizd a szolgáltatás által naplózott forráscímet, az útvonalat, amelyet az ügyfél az adatbázis nevéhez választ, és a tényleges lekérdezés eredményét, ebben a sorrendben. Az átjárótól végzett teszt azt bizonyítja, hogy az átjáró működik, ami soha nem volt kétséges. Ha a kapcsolat most hitelesít, a lekérdezés viszont még mindig meghiúsul, a fennmaradó probléma az adatbázis-jogosultság.
Minden alkalommal vizsgáld felül ezeket a szabályokat, amikor az alagút változik. Egy lecserélt átjáró vagy új kimenő tartomány megtöri az útvonalat az alkalmazás konfigurációjának bármilyen változása nélkül.