Apakah VPN komersial memblokir port 5432? Bandingkan pilihan Anda

Aplikasi itu berbicara dengan basis datanya dari kantor setiap hari. Lalu seseorang mengaktifkan klien VPN komersial di laptop yang sama, dan koneksi mulai direset setelah handshake. Tidak ada yang berubah di aplikasi, terowongan melaporkan dirinya sehat, dan firewall yang Anda kendalikan tidak punya aturan pemblokiran. Yang berubah adalah jalur keluar: server penyedia adalah titik akhir bersama bervolume tinggi, dan penyedia memfilter port keluar untuk mengurangi penyalahgunaan. Port basis data dan pengiriman email menanggung sebagian besar, karena port itulah yang menarik pemindaian dan spam dari kumpulan alamat anonim.

Uji lima menit yang memisahkan penyaringan dari segala hal lain

Dari mesin yang sama, uji satu port yang seharusnya terbuka dan port yang gagal, pada host yang sama, dengan terowongan aktif lalu mati. Gunakan perintah yang sama kedua kali agar satu-satunya variabel adalah terowongan:

Test-NetConnection db.example.com -Port 443
Test-NetConnection db.example.com -Port 5432
nc -vz -w3 db.example.com 5432

Empat hasil mencakup hampir semua kasus. Jika 443 berfungsi dan 5432 gagal hanya saat terowongan aktif, Anda melihat penyaringan port di jalur keluar. Jika keduanya gagal saat terowongan aktif dan keduanya berfungsi tanpanya, masalahnya ada pada perutean atau DNS, bukan kebijakan port. Jika kedua port terhubung tetapi aplikasi tetap gagal, kesalahannya ada pada autentikasi atau TLS, bukan keterjangkauan. Dan jika hanya satu lokasi server penyedia yang gagal, itu kebijakan per server, jadi coba lokasi lain sebelum menyentuh konfigurasi apa pun.

Pilihan satu: split tunnel untuk subnet basis data

Jika laptop hanya membutuhkan VPN komersial untuk keperluan lain, kecualikan rentang alamat basis data dari terowongan agar lalu lintas tidak pernah masuk ke pintu keluar bersama. Ini pilihan paling bersih ketika kedua jalur memang tidak perlu bertemu, dan tidak ada biaya selain aturan perutean yang bisa Anda dokumentasikan. Komprominya adalah bahwa split tunneling menghadirkan permukaan kebijakan kedua: apa yang dikecualikan dari terowongan harus disengaja, bukan efek samping dari subnet yang ditambahkan seseorang belakangan.

Ini berhenti berfungsi saat basis data berada di dalam jaringan yang seharusnya dijangkau VPN, jadi periksa itu sebelum berkomitmen.

Pilihan dua: titik akhir Anda sendiri, egress Anda sendiri

Menjalankan titik akhir VPN kecil di VPS menaruh kendali kebijakan keluar di tangan Anda, dan tidak ada kumpulan bersama yang terlibat. Inilah pilihan yang layak dibandingkan secara jujur dengan klien komersial: Anda memperoleh alamat sumber yang dapat diprediksi dan kehilangan jejak global serta kenyamanan penyedia. Bagi tim yang membutuhkan port basis data dan email sepanjang hari, kompromi biasanya berpihak pada memiliki titik akhir, karena mode kegagalannya menjadi kesalahan konfigurasi Anda sendiri, bukan kebijakan penyalahgunaan orang lain.

Bandingkan keduanya pada stabilitas alamat sumber, pada siapa yang dapat membaca lalu lintas Anda, dan pada apa yang terjadi pada hari penyedia titik akhir mengubah penyaringannya sendiri.

Pilihan tiga: keluarkan laptop dari jalur

Pekerjaan CI, kontainer terjadwal, atau host bastion di dalam jaringan yang diizinkan tidak bergantung pada status terowongan seseorang. Capai basis data melalui terowongan SSH dari host yang sudah diizinkan, dan laptop tidak pernah berbicara langsung ke port. Inilah pilihan yang berskala ketika beberapa orang menghadapi batasan yang sama, dan juga yang menghilangkan masalahnya alih-alih memutarinya.

Ini membutuhkan lebih banyak kerja di awal daripada aturan split tunnel, dan tidak membantu satu orang yang saat ini butuh sesi interaktif.

Mengapa menambahkan alamat penyedia ke daftar izin adalah perbandingan yang keliru

Menambahkan alamat keluar penyedia ke daftar izin basis data memang berhasil, dan juga memberi akses kepada setiap pelanggan lain yang berbagi alamat itu pada saat itu. Untuk replika hanya-baca di balik akun aplikasi yang diberikan secara sempit, paparannya mungkin masih dapat ditoleransi selama sehari. Untuk apa pun yang dapat ditulis, itu bukan kompromi yang layak disebut, dan alamat keluar yang berotasi memperburuknya: setiap perubahan server mematahkan aturan, dan pemeliharaannya mengundang entri CIDR lebar yang mengalahkan tujuan daftar izin.

Alamat khusus atau statis, di tempat penyedia menjualnya, adalah satu-satunya versi ini yang berskala. Kaitkan daftar izin ke alamat yang hanya milik Anda, atau jangan kaitkan sama sekali.

Apa pun yang Anda pilih, tuliskan jalur dan alasannya. Orang berikutnya akan menemui koneksi yang direset sama dan akan mulai menyalahkan aplikasi.