Staðbundinn gagnagrunnsbiðlari og einkarekið RDS: hvers vegna tengingin rennur út

Fartölva forritara rennur út á tíma þegar hún tengist einkarekna RDS-endapunktinum, á meðan sömu skilríki virka frá bastion-hýsli. Ekkert er niðri. Leiðin milli þeirrar fartölvu og gagnagrunnsins vantar eitt af þrennu: nafn sem leysist, leið sem ber umferðina, eða reglu í öryggishópi sem hleypir þeim uppruna sem gagnagrunnurinn sér í raun. Finndu út hvað vantar áður en þú breytir hinum tveimur.

Lestu mistakið á réttu lagi

Útrun er ekki ein villa. Nafn sem leysist ekki mistekst áður en pakki yfirgefur vélina. Heimilisfang án leiðar sendir pakka í svartan göt. Síuð port veldur bið sem lítur nákvæmlega út eins og röng hýsing. Keyrðu skrefin í röð og stöðvaðu við það fyrsta sem mistekst.

dig +short db.internal.example
nc -vz db.internal.example 5432

Ef nafnið skilar opinberu heimilisfangi, eða skilar engu, er göngin ekki vandamálið ennþá.

Ef nafnið leysist og portprófið hangir, berðu saman heimilisfangið sem þú leystir við heimilisfangið sem gagnagrunnurinn greinir frá. Stýrður endapunktur getur leyst í einkarekið heimilisfang innan VPC og í ekkert gagnlegt utan þess, og heimilisfang sem afritað var úr gamalli uppflettingu mun vísa á hýsingu sem svarar ekki lengur.

Aðskildu göngin frá leiðinni

Að tengja biðlara-VPN beinir ekki sjálfkrafa öllu einkareku sviði. Prófíllinn ber leiðirnar sem þjónustan ýtir, og biðlarinn gæti aðeins sett upp sumar þeirra. Skoðaðu hvaða svið biðlarinn bætti í raun við og hvort heimilisfang gagnagrunnsins fellur innan eins þeirra.

ip route get 10.20.40.15
ip addr show tun0

Leið sem bendir á gönguviðmótið er nauðsynleg; hún er ekki nægileg, því hinum megin verður enn að taka við umferðinni.

Prófílar fyrir skipt göng eru venjulega uppspretta þessa hálfa mistaks. Þeir virka fyrir forritið sem prófíllinn var hannaður fyrir og skilja svið gagnagrunnsins utan ganganna, sem framleiðir nákvæmlega þá útrun sem eldveggur myndi framleiða.

Lagaðu öryggishópinn að raunverulega upprunanum

RDS-öryggishópurinn hleypir upprunum, ekki fólki. Eftir arkitektúrnum getur uppruninn verið VPN-biðlarapotturinn, einkarekið heimilisfang bastions eða NAT-heimilisfang sem umferðin er þýdd yfir í. Lestu regluna og raunverulegan uppruna pakkans saman.

aws ec2 describe-security-groups --group-ids sg-0123456789abcdef0 \
  --query 'SecurityGroups[].IpPermissions'

Regla fyrir heimahús fartölvu er viðhaldsvandamál frekar en aðgangshönnun.

Þegar biðlara-VPN eða NAT-gátt er á leiðinni, getur gagnagrunnurinn séð heimilisfang þýðandans í stað gangaheimilisfangs forritarans. Þess vegna getur regla sem afrituð er úr vinnandi bastionsuppsetningu mistekist fyrir fartölvu: leiðirnar tvær koma frá mismunandi upprunum þó að báðar líti út fyrir að vera innri.

Veldu þrönga leið fram yfir breiða

Þegar einn forritari þarf einn gagnagrunn, er sending byggð á setu oft ódýrari í rekstri en heil netgöng. Staðbundni biðlarinn tengist sendu porti, og fjartengdi hlutinn stofnar gagnagrunnstenginguna innan úr netinu.

ssh -N -L 5432:db.internal.example:5432 bastion.internal.example

Haltu TLS-sannprófun ósnortinni í þeirri hönnun. Biðlarinn ætti enn að sannprófa þjónarstefinu við nafnið sem hann býst við; staðbundið sent port er ekki ástæða til að slökkva á sannprófun, og að slökkva á henni felur nákvæmlega auðkennisvandamálið sem er þess virði að grípa.

Valið milli heilla ganga og þröngrar sendingar er ákvörðun um umfang, ekki um öryggisleikhús.

Skildu eftir endurtakanlega leið

Skráðu nafn endapunktsins í stað leysts heimilisfangs, upprunasviðið sem öryggishópurinn hleypir og gagnagrunnshlutverkið sem forritarinn notar. Þessar þrjár staðreyndir útskýra flest framtíðarmistök án símtals. Bættu einnig útgáfu biðlaraprófílsins við, því prófílbreyting getur fjarlægt leið sem gamli prófíllinn bar.

Prófaðu svo neikvæða tilfellið einu sinni: biðlari utan samþykkts uppruna ætti enn að vera hafnaður.

Einkarekinn gagnagrunnur sem virkar aðeins fyrir þann sem setti hann upp er ekki einkarekinn aðgangur; hann er óskráð undantekning sem bíður þess að verða enduruppgötvuð. Skrifaðu leiðina niður, og næsti forritari erfir aðferð í stað ráðgátu.