SQL yfir VPN: beinn biðlari eða innri vinnustöð?

Teymi vilja SSMS á fartölvunum sínum, og skjóta lausnin er að birta SQL-gáttina í VPN-lauginni. Hægara svarið spyr hvar biðlarferlið eigi að keyra, því beinn aðgangur og innri vinnustöð framleiða mismunandi upprunavistföng, traust endapunkts og gagnaleiðir. Hvort tveggja er ekki sjálfkrafa öruggt, og VPN-aðild ein sér ræður engu. Berðu saman hönnunina áður en leyfisregla er til.

Tvær leiðir, tvö upprunavistföng

Við beinan aðgang ber fartölvan biðlarstillinguna og opnar gagnagrunnstenginguna sjálf. Við fjarvinnustöð opnar fartölvan skjáborðsþing, og vinnustöðin gerir SQL-tenginguna frá eigin vistfangi. Gagnagrunnurinn sér því VPN-laugina eða þýdda gátt í fyrri hönnuninni, og vistfang vinnustöðvarinnar í þeirri seinni. Sá munur ræður því hvaða eldveggjarregla og hvaða SQL-heimild eiga í raun við.

Fartölvan stýrir enn fjartengingunni, svo vinnustöð kemur ekki í stað notandaaðkenningar eða setustefnu.

Kannaðu hvað gagnagrunnurinn sér í raun

Upprunavistfangið á að mæla, ekki álykta út frá skýringarmynd. Lestu það á þjónarhlið virkrar tengingar.

Test-NetConnection sql.example.com -Port 1433
sqlcmd -S tcp:sql.example.com,1433 -N -d appdb -Q "select SUSER_SNAME() as login_name, DB_NAME() as db"

Tengingarprófið sannar að hlustandinn taki við TCP frá því neti, en fyrirspurnin sannar hvaða innskráningu og gagnagrunni þingið náði. Til að sjá vistfangið sem þjónninn skráði, spurðu sys.dm_exec_connections fyrir núverandi þing; það skilar biðlaravistfanginu eftir hvaða þýðingu sem er. Ef gildið er gátt en ekki fartölvan, getur hýsilsregla fyrir hvern notanda ekki virkað á gagnagrunnsvélinni. Skrifaðu athugaða gildið við hlið hönnunarinnar sem valin var, því endurtengingar og breytingar á lauginni færa það.

Opnaðu hlustandann og ekkert annað

Opnaðu aðeins þjónustuna sem uppsetningin þarf. Hinn kunnuglegi 1433 er gátt sjálfgefna tilviksins, ekki alheimsfasti.

Get-NetTCPConnection -State Listen -LocalPort 1433

Nefnd tilvik hlusta oft á kvikri gátt, þar sem SQL Server Browser svarar uppgötvun á UDP 1434, og þessi háð er sérstök vá sem þarf að réttlæta. Að festa fasta gátt fyrir tilvikið fjarlægir þörfina fyrir Browser og gerir eldveggjarreglur stöðugar. Haltu dulkóðunar- og skírteinaprófunum sem biðlarinn gerir þegar, í stað þess að slökkva á þeim svo próf standist. Veittu svo gagnagrunnshlutverk fyrir vinnuálagið í stað þess að bæta allri VPN-hópnum við þjónarhlutverk.

Sannaðu leyfðu leiðina og þá bönnuðu

Opnaðu nýtt þing sem venjulegur samþykktur notandi, og staðfestu auðkenni þjónsins, gagnagrunninn og aðgerðina sem þarf. Staðfestu svo undantekninguna: uppruni eða reikningur utan stefnunnar verður að falla á sama prófi. Fyrir vinnustöðvarhönnunina skaltu sannreyna að fartölvan geti ekki farið fram hjá mörkunum með því að ná beint í gagnagrunninn. Fyrir beinan aðgang skaltu sannreyna að leiðin og upprunareglan gildi enn eftir endurtengingu.

Skráðu hvar biðlarinn keyrði, hvaða uppruna gagnagrunnurinn sá og hvaða regla leyfði það. Það eru sönnunargögnin sem næsta endurskoðun mun biðja um.