Blokkar verslunar-VPN port 5432? Berðu saman valkostina þína

Forritið talaði við gagnagrunninn sinn frá skrifstofunni á hverjum degi. Síðan kveikti einhver á verslunar-VPN biðlarann á sömu fartölvunni, og tengingin byrjaði að endurstilla eftir handabandið. Ekkert í forritinu breyttist, göngin segjast heilbrigð, og eldveggurinn sem þú stýrir hefur enga blokkarreglu. Það sem breyttist er útleiðin: netþjónar veitandans eru sameiginlegir endapunktar með mikilli umferð, og veitendur sía útleiðarport til að draga úr misnotkun. Gagnagrunns- og póstsendingarport fá mest af þessu, vegna þess að það eru portin sem draga að skönnun og ruslpóst frá nafnlausu vistfangi.

Fimm mínútna prófið sem aðgreinir síun frá öllu öðru

Frá sömu vél, prófaðu eitt port sem verður að vera opið og portið sem mistekst, á sama hýsli, með göngin á og svo af. Notaðu sömu skipun bæði skiptin svo eina breytan sé göngin:

Test-NetConnection db.example.com -Port 443
Test-NetConnection db.example.com -Port 5432
nc -vz -w3 db.example.com 5432

Fjórar niðurstöður ná yfir næstum öll tilvik. Ef 443 virkar og 5432 mistekst aðeins með göngin á, ertu að horfa á portssíun á útleiðinni. Ef bæði mistakast með göngin á og bæði virka án þeirra, er vandamálið í leiðsögn eða DNS, ekki portstefnu. Ef bæði portin tengjast en forritið mistekst samt, er sökin í auðkenningu eða TLS, ekki í aðgengi. Og ef aðeins ein netþjónsstaðsetning veitandans mistekst, er það stefna á hvern netþjón, svo prófaðu aðra staðsetningu áður en þú snertir nokkra stillingu.

Valkostur einn: klofin göng fyrir undirnet gagnagrunnsins

Ef fartölvan þarf verslunar-VPN aðeins í öðrum tilgangi, slepptu vistfangasviði gagnagrunnsins úr göngunum svo umferðin fari aldrei inn á sameiginlegu útleiðina. Þetta er hreinasti valkosturinn þegar leiðirnar tvær þurfa sannarlega ekki að mætast, og hann kostar ekkert umfram leiðsagnarreglu sem þú getur skjalfest. Málamiðlunin er sú að klofin göng bæta við annarri stefnufleti: það sem er undanþegið göngunum verður að vera viljandi, ekki aukaverkun undirnets sem einhver bætti við síðar.

Það hættir að virka á þeirri stundu sem gagnagrunnurinn býr innan netsins sem VPN á að ná til, svo athugaðu það áður en þú skuldbindur þig.

Valkostur tveir: þinn eigin endapunktur, þín eigin útleið

Að reka lítinn VPN-endapunkt á VPS setur stjórn útleiðarstefnunnar í þínar hendur, og engum sameiginlegum vistfangi er tekið þar. Þetta er valkosturinn sem er þess virði að bera heiðarlega saman við verslunar-biðlarann: þú vinnur fyrirsjáanlegt upprunavistfang og tapar alþjóðlegu fótspori og þægindum veitandans. Fyrir teymi sem þarf gagnagrunns- og póstport allan daginn hallar málamiðluninni venjulega í þá átt að eiga endapunktinn, vegna þess að bilunarhátturinn verður þín eigin rangstilling í stað misnotkunarstefnu einhvers annars.

Berðu saman þau tvö hvað varðar stöðugleika upprunavistfangsins, hver getur lesið umferðina þína, og hvað gerist á þeim degi sem veitandi endapunktsins breytir eigin síun.

Valkostur þrír: taktu fartölvuna út úr leiðinni

CI-verk, tímasett gámur eða bastion-hýsill innan leyfða netsins fer ekki eftir göngustöðu manneskju. Náðu í gagnagrunninn með SSH-göngum frá hýsli sem þegar er leyft, og fartölvan talar aldrei beint við portið. Þetta er valkosturinn sem skalar þegar nokkrir lenda í sömu takmörkun, og hann er líka sá sem fjarlægir vandamálið í stað þess að fara í kringum það.

Það krefst meiri vinnu fyrirfram en regla um klofin göng, og það hjálpar ekki þeirri einu manneskju sem þarf gagnvirka lotu núna.

Hvers vegna það er röng samlíking að setja vistfang veitandans á leyfðan lista

Að bæta útleiðarvistfangi veitandans við leyfðan lista gagnagrunns virkar, og það veitir líka aðgang að hverjum öðrum áskrifanda sem deilir því vistfangi á þeirri stundu. Fyrir leseingaafrit bak við þröngt veitt forritaaðgangsheimild getur útsetningin verið ásættanleg í einn dag. Fyrir hvað sem er skrifanlegt er þetta ekki málamiðlun sem er þess virði að nefna, og snúningsútleiðarvistföng gera það verra: sérhver netþjónsbreyting brýtur regluna, og viðhaldið býður breiðum CIDR-færslum sem gera tilgang leyfða listans að engu.

Sérstök eða föst vistföng, þar sem veitandinn selur þau, eru eina útgáfan af þessu sem skalar. Lyklaðu leyfða listann að vistfangi sem er aðeins þitt, eða lyklaðu hann alls ekki.

Hvað sem þú velur, skrifaðu niður leiðina og ástæðuna. Næsta manneskja mun mæta sömu endurstilltu tengingu og byrja á að kenna forritinu um.