Hvaða vistfang sér skýjahitveggur þegar VPN-ið þitt er í gangi
Full göng breyta upprunavistfanginu sem gagnagrunnurinn þinn sér. Færðu leyfða listann, einkaleiðina eða skipta göngin, ekki auðkennin.
Gagnagrunnur sem virkar áður en VPN tengist og bregst eftir það er sjaldan auðkennavandamál. Skýjahitveggir stemma upprunavistföng, og full göng skipta um það sem þeir voru að stemma. Bilið milli þess sem þú heldur að fartölvan þín sendi og þess sem þjónninn tekur við er allt villan, og hægt er að mæla það í einu skrefi.
Hvað upprunavistfangið verður
Í fullum göngum fer hver pakki út um VPN-gáttina, svo þjónninn sér útfararvistfang gáttarinnar í stað heimatengingarinnar þinnar. Ef framsenda staðgengill er á leiðinni er það vistfang hans sem kemur. Bæði eru lögmætar uppsprettur, og hvorugt er vistfangið í upprunalegu reglunni þinni.
Hitveggjareglur Azure SQL á þjóns- og gagnagrunnsstigi stemma vistfang þess biðlara sem nær hinum rökrétta þjóni, sem eftir full göng er útfararvistfangið. Öryggishópur AWS sem leyfir eitt vistfang hagar sér á sama hátt. Pakkanum er hent fyrir auðkenningu, svo villan sem þú færð til baka lítur út eins og nettruflun frekar en leyfisvandamál. Einmitt þess vegna byrja fólk að endurstilla lykilorð.
Hvar leyfði listinn er ákveðinn
Lestu regluna sem passar við leiðina sem bregst, ekki regluna sem þú manst eftir að hafa búið til. Taktu eftir umfangi hennar, portinu, samskiptareglunni og hvort hún er metin fyrir nokkra auðkennisathugun.
Ákveddu síðan hvaða lag á löglega þessa ákvörðun. Vistfangsregla svarar því hvaðan umferðin kemur. Einkatengipunktur svarar því hvort þjónustan sé yfirhöfuð aðgengileg um einkaleið. Undanþága fyrir skipt göng svarar því hvaða áfangastaðir fara fram hjá göngunum. Þær eru ekki skiptanlegar, og hver um sig bregst á annan hátt þegar göngin breytast.
Þrjár viðgerðir, þrjú lög
Hver valkostur hér að neðan lagar flæðið af annarri ástæðu, og rangt val gefur tengingu sem virkar þar til gáttin breytist næst.
| Repair | Layer it changes | What it does not fix |
|---|---|---|
| Add the egress address to the rule | Source address matching | Nothing about routing, and it breaks when the egress moves |
| Use a private endpoint | Whether the service is reached privately | A client that still resolves the public name |
| Add a split-tunnel exception | Which flows bypass the tunnel | An expired credential or a wrong password |
Að bæta útfararvistfanginu við er minnsta breytingin og sú brothættasta, því ný gátt eða annað svæði gerir það ógilt í kyrrþey. Skjalfestu vistfangið við hlið gönguskilgreiningarinnar svo bæði hreyfist saman. Tímabundið breitt svið er greining, ekki viðgerð; að láta það vera á sínum stað er leiðin sem innri þjónustur enda berskjaldaðar.
Hvers vegna stýrður vettvangur getur ekki gengið í göngin
Forritavettvangar eins og Heroku, AppHarbor eða CloudBees keyra kóðann þinn í umhverfi án tun- eða tap-tækis og án réttinda til að búa eitt til. Innkomumódel þeirra er HTTP en ekki handahófskennd hlustandi sessa. Byggingarpakki sem flytur VPN-tvíundartölu hefur samt hvergi til að setja viðmótið. Vinnanlegu mynstrin eru kyrrstætt útfararvistfang sem gagnagrunnurinn getur leyft, einkatengingarvara sem vettvangurinn býður, eða staðgengill í DMZ sem náð er í gegnum HTTPS.
Sá staðgengill er aðgangsleið með eigin auðkenningu og skráningu. Hann gerir vettvanginn ekki að meðlimi í VPN-inu þínu, og að lýsa því þannig framleiðir reglur sem enginn getur endurskoðað.
Staðfestu frá biðlarans sem brást
Tengdu aftur og endurtaktu nákvæma leið biðlarans. Athugaðu upprunavistfangið sem þjónustan skráir, leiðina sem biðlarinn velur fyrir gagnagrunnsheitið og niðurstöðu raunverulegu fyrirspurnarinnar, í þeirri röð. Prófun frá gáttinni sannar að gáttin virkar, sem var aldrei dregið í efa. Ef tengingin auðkennist núna og fyrirspurnin bregst enn, er eftirstandandi vandamál gagnagrunnsleyfið.
Farðu yfir þessar reglur hvenær sem göngin breytast. Skipt gátt eða nýtt útfararsvið brýtur leiðina án nokkurrar breytingar á stillingum forritsins.