SQL lewat VPN: klien langsung atau workstation internal?

Tim ingin SSMS di laptop mereka, dan perbaikan cepatnya adalah memublikasikan port SQL ke kumpulan VPN. Jawaban yang lebih lambat bertanya di mana proses klien harus berjalan, karena akses langsung dan workstation internal menghasilkan alamat sumber, kepercayaan titik akhir, dan jalur data yang berbeda. Keduanya tidak otomatis aman, dan keanggotaan VPN saja tidak menentukan apa pun. Bandingkan rancangannya sebelum ada aturan izin.

Dua jalur, dua alamat sumber

Pada akses langsung, laptop membawa konfigurasi klien dan membuka sendiri koneksi basis data. Pada workstation jarak jauh, laptop membuka sesi desktop, dan workstation membuat koneksi SQL dari alamatnya sendiri. Jadi basis data melihat kumpulan VPN atau gateway yang diterjemahkan pada rancangan pertama, dan alamat workstation pada rancangan kedua. Perbedaan itulah yang menentukan aturan firewall dan izin SQL mana yang benar-benar berlaku.

Laptop tetap mengendalikan sesi jarak jauh, jadi workstation bukan pengganti autentikasi pengguna atau kebijakan sesi.

Periksa apa yang benar-benar dilihat basis data

Alamat sumber adalah hal yang diukur, bukan disimpulkan dari diagram. Bacalah dari sisi server pada koneksi aktif.

Test-NetConnection sql.example.com -Port 1433
sqlcmd -S tcp:sql.example.com,1433 -N -d appdb -Q "select SUSER_SNAME() as login_name, DB_NAME() as db"

Uji konektivitas membuktikan bahwa listener menerima TCP dari jaringan itu, sedangkan kueri membuktikan login dan basis data mana yang dicapai sesi. Untuk melihat alamat yang dicatat server, kueri sys.dm_exec_connections untuk sesi saat ini, yang mengembalikan alamat klien setelah penerjemahan apa pun. Jika nilai itu gateway dan bukan laptop, aturan host per pengguna tidak dapat bekerja di mesin basis data. Catat nilai yang diamati di samping rancangan yang dipilih, karena penyambungan ulang dan perubahan kumpulan menggesernya.

Buka listener dan tidak ada yang lain

Buka hanya layanan yang dibutuhkan penerapan. Port 1433 yang familier adalah port instans default, bukan konstanta universal.

Get-NetTCPConnection -State Listen -LocalPort 1433

Instans bernama sering mendengarkan pada port dinamis, dengan SQL Server Browser menjawab penemuan pada UDP 1434, dan ketergantungan itu adalah paparan terpisah yang harus dibenarkan. Menyematkan port tetap untuk instans menghapus kebutuhan Browser dan membuat aturan firewall stabil. Pertahankan pemeriksaan enkripsi dan sertifikat yang sudah dilakukan klien alih-alih mematikannya agar uji lolos. Lalu berikan peran basis data untuk beban kerja alih-alih menambahkan seluruh grup VPN ke peran server.

Buktikan jalur yang diizinkan dan yang ditolak

Buka sesi baru sebagai pengguna biasa yang disetujui, dan pastikan identitas server, basis data, serta operasi yang diperlukan. Lalu pastikan pengecualiannya: sumber atau akun di luar kebijakan harus gagal pada uji yang sama. Untuk rancangan workstation, pastikan laptop tidak dapat melewati batas dengan mencapai basis data secara langsung. Untuk akses langsung, pastikan rute dan aturan sumber masih berlaku setelah penyambungan ulang.

Catat di mana klien berjalan, sumber mana yang diamati basis data, dan aturan mana yang mengizinkannya. Itulah bukti yang akan diminta tinjauan berikutnya.