ბლოკავს კომერციული VPN პორტს 5432? შეადარეთ თქვენი არჩევანი

აპლიკაცია ყოველდღე ოფისიდან თავის მონაცემთა ბაზასთან საუბრობდა. შემდეგ ვიღაცამ იმავე ლეპტოპზე ჩართო კომერციული VPN კლიენტი და კავშირმა ხელის ჩამორთმევის შემდეგ განახლება დაიწყო. აპლიკაციაში არაფერი შეიცვალა, გვირაბი თავს ჯანმრთელად აცხადებს, ხოლო firewall-ს, რომელსაც თქვენ აკონტროლებთ, დაბლოკვის წესი არ აქვს. შეიცვალა გასასვლელი გზა: პროვაიდერის სერვერები გაზიარებული, მაღალი ტრაფიკის ბოლო წერტილებია და პროვაიდერები გამავალ პორტებს ფილტრავენ ბოროტად გამოყენების შესამცირებლად. მონაცემთა ბაზისა და ფოსტის გაგზავნის პორტები იღებენ ამის უდიდეს ნაწილს, რადგან სწორედ ეს პორტები იზიდავს სკანირებასა და სპამს ანონიმური მისამართების აუზიდან.

ხუთწუთიანი ტესტი, რომელიც ფილტრაციას ყველაფრისგან გამოჰყოფს

იმავე მანქანიდან შეამოწმეთ ერთი პორტი, რომელიც ღია უნდა იყოს, და პორტი, რომელიც ვარდება, იმავე ჰოსტზე, გვირაბის ჩართული და შემდეგ გამორთული მდგომარეობით. ორივეჯერ გამოიყენეთ იგივე ბრძანება, რათა ერთადერთი ცვლადი გვირაბი იყოს:

Test-NetConnection db.example.com -Port 443
Test-NetConnection db.example.com -Port 5432
nc -vz -w3 db.example.com 5432

ოთხი შედეგი ფარავს თითქმის ყველა შემთხვევას. თუ 443 მუშაობს და 5432 ვარდება მხოლოდ გვირაბის ჩართვისას, თქვენ ხედავთ პორტების ფილტრაციას გასასვლელ გზაზე. თუ ორივე ვარდება გვირაბით და ორივე მუშაობს მის გარეშე, პრობლემა მარშრუტიზაციაში ან DNS-შია და არა პორტის პოლიტიკაში. თუ ორივე პორტი უკავშირდება, მაგრამ აპლიკაცია მაინც ვარდება, ბრალი ავთენტიფიკაციაში ან TLS-შია და არა ხელმისაწვდომობაში. და თუ პროვაიდერის მხოლოდ ერთი სერვერის ადგილმდებარეობა ვარდება, ეს სერვერის პოლიტიკაა, ამიტომ ნებისმიერი კონფიგურაციის შეხებამდე სცადეთ სხვა ადგილმდებარეობა.

პირველი ვარიანტი: გაყოფილი გვირაბი მონაცემთა ბაზის ქვექსელისთვის

თუ ლეპტოპს კომერციული VPN მხოლოდ სხვა მიზნებისთვის სჭირდება, გამორიცხეთ მონაცემთა ბაზის მისამართების დიაპაზონი გვირაბიდან, რათა ტრაფიკი არასოდეს შევიდეს გაზიარებულ გასასვლელში. ეს ყველაზე სუფთა ვარიანტია, როცა ორ გზას ნამდვილად არ სჭირდება შეხვედრა, და არაფერი ღირს იმ მარშრუტიზაციის წესის გარდა, რომელსაც შეგიძლიათ დაამუშაოთ. კომპრომისი ის არის, რომ გაყოფილი გვირაბი მეორე პოლიტიკის ზედაპირს ნერგავს: ის, რაც გვირაბიდან გამორიცხულია, განზრახ უნდა იყოს და არა მოგვიანებით ვიღაცის მიერ დამატებული ქვექსელის გვერდითი ეფექტი.

მუშაობას წყვეტს იმ მომენტში, როცა მონაცემთა ბაზა იმ ქსელში ცხოვრობს, რომელსაც VPN უნდა მიაღწიოს, ამიტომ ეს შეამოწმეთ მასზე დათანხმებამდე.

მეორე ვარიანტი: თქვენი საკუთარი ბოლო წერტილი, თქვენი საკუთარი გასასვლელი

მცირე VPN ბოლო წერტილის VPS-ზე გაშვება გასასვლელი პოლიტიკის კონტროლს გაძლევთ და გაზიარებული აუზი არ მონაწილეობს. ეს არის ის ვარიანტი, რომელიც ღირს პატიოსნად შედარდეს კომერციულ კლიენტს: იძენთ წინასწარმეტყველებად წყაროს მისამართს და კარგავთ პროვაიდერის გლობალურ კვალსა და მოხერხებულობას. გუნდისთვის, რომელსაც მთელი დღე სჭირდება მონაცემთა ბაზისა და ფოსტის პორტები, კომპრომისი ჩვეულებრივ ბოლო წერტილის ფლობის სასარგებლოდ იხრება, რადგან წარუმატებლობის რეჟიმი ხდება თქვენი საკუთარი არასწორი კონფიგურაცია და არა სხვისი ბოროტად გამოყენების პოლიტიკა.

შეადარეთ ორივე წყაროს მისამართის სტაბილურობით, იმით თუ ვის შეუძლია თქვენი ტრაფიკის წაკითხვა და იმით, თუ რა ხდება იმ დღეს, როცა ბოლო წერტილის პროვაიდერი საკუთარ ფილტრაციას შეცვლის.

მესამე ვარიანტი: გამოიყვანეთ ლეპტოპი გზიდან

CI სამუშაო, დაგეგმილი კონტეინერი ან დაშვებულ ქსელში მდებარე ბასტიონის ჰოსტი არ არის დამოკიდებული ადამიანის გვირაბის მდგომარეობაზე. მიაღწიეთ მონაცემთა ბაზას SSH გვირაბით უკვე დაშვებული ჰოსტიდან და ლეპტოპი არასოდეს ელაპარაკება პორტს პირდაპირ. ეს არის ვარიანტი, რომელიც სკალირდება, როცა რამდენიმე ადამიანი ერთსა და იმავე შეზღუდვას ხვდება, და ისიც, რომელიც პრობლემას აღმოფხვრის და არა გვერდს უვლის.

ეს უფრო მეტ წინასწარ სამუშაოს მოითხოვს, ვიდრე გაყოფილი გვირაბის წესი, და არ ეხმარება იმ ერთ ადამიანს, რომელსაც ახლა ინტერაქტიული სესია სჭირდება.

რატომ არის პროვაიდერის მისამართის ნებადართულთა სიაში შეტანა არასწორი შედარება

პროვაიდერის გასასვლელი მისამართის მონაცემთა ბაზის ნებადართულთა სიაში დამატება მუშაობს და ის ასევე წვდომას აძლევს ყველა სხვა აბონენტს, რომელიც იმ მომენტში ამ მისამართს იზიარებს. ვიწროდ მინიჭებული აპლიკაციის ანგარიშის უკან მდებარე მხოლოდ-წაკითხვის რეპლიკისთვის გამომჟღავნება შეიძლება ერთი დღის განმავლობაში მისაღები იყოს. ყველაფრისთვის, რაც ჩაწერადია, ეს არ არის სახელის დარქმევის ღირსი კომპრომისი, და მბრუნავი გასასვლელი მისამართები აუარესებს საქმეს: ყოველი სერვერის ცვლილება არღვევს წესს და მომსახურება იწვევს ფართო CIDR ჩანაწერებს, რომლებიც აუქმებენ ნებადართულთა სიის მიზანს.

გამოყოფილი ან სტატიკური მისამართები, სადაც პროვაიდერი ყიდის მათ, ამის ერთადერთი ვერსიაა, რომელიც სკალირდება. მიაბით ნებადართულთა სია მისამართს, რომელიც მხოლოდ თქვენია, ან საერთოდ არ მიაბათ.

რაც არ უნდა აირჩიოთ, ჩაწერეთ გზა და მიზეზი. შემდეგი ადამიანი იმავე განახლებად კავშირს შეხვდება და აპლიკაციის დადანაშაულებას დაიწყებს.