რომელ მისამართს ხედავს ღრუბლოვანი firewall, როცა თქვენი VPN ჩართულია
სრული გვირაბი ცვლის წყაროს მისამართს, რომელსაც თქვენი მონაცემთა ბაზა ხედავს. გადაიტანეთ ნებადართული სია, კერძო გზა ან გაყოფილი გვირაბი და არა სამშვენის მონაცემები.
მონაცემთა ბაზა, რომელიც მუშაობს VPN-ის მიერთებამდე და იშლება შემდეგ, იშვიათად არის სამშვენის მონაცემების პრობლემა. ღრუბლოვანი firewall-ები წყაროს მისამართებს ადარებენ, და სრული გვირაბი ცვლის სწორედ იმას, რასაც ისინი ადარებდნენ. სხვაობა იმას შორის, რასაც თქვენი ლეპტოპი გაგზავნის თქვენი აზრით, და იმას შორის, რასაც სერვერი იღებს, მთელი ხარვეზია და ის ერთ ნაბიჯში გაიზომება.
რად იქცევა წყაროს მისამართი
სრულ გვირაბში ყოველი პაკეტი VPN კარიბჭიდან გადის, ამიტომ სერვერი ხედავს კარიბჭის გამავალ მისამართს და არა თქვენს საშინაო კავშირს. თუ გზაზე გამტარი პროქსია, სწორედ მისი მისამართი აღწევს. ორივე ლეგიტიმური წყაროა და არც ერთი არ არის თქვენს საწყის წესში მოცემული მისამართი.
Azure SQL-ის სერვერის დონისა და მონაცემთა ბაზის დონის firewall წესები ადარებენ კლიენტის მისამართს, რომელიც ლოგიკურ სერვერამდე აღწევს, და სრული გვირაბის შემდეგ ეს გამავალი მისამართია. AWS-ის უსაფრთხოების ჯგუფი, რომელიც ერთ მისამართს უშვებს, იგივენაირად იქცევა. პაკეტი ავთენტიფიკაციამდე იყრება, ამიტომ მიღებული შეცდომა ქსელურ ხარვეზს ჰგავს და არა ნებართვის პრობლემას. სწორედ ამიტომ იწყებენ ადამიანები პაროლების აღდგენას.
სად წყდება ნებადართული სია
წაიკითხეთ ის წესი, რომელიც წარუმატებელ გზას შეესაბამება და არა ის, რომელიც გახსოვთ, რომ შექმენით. დააკვირდით მის ფარგლებს, პორტს, პროტოკოლს და იმას, ფასდება თუ არა იგი ნებისმიერი იდენტობის შემოწმებამდე.
შემდეგ გადაწყვიტეთ, რომელ ფენას ეკუთვნის ეს გადაწყვეტილება ლეგიტიმურად. მისამართის წესი პასუხობს, საიდან მოდის ტრაფიკი. კერძო ბოლო წერტილი პასუხობს, არის თუ არა სერვისი საერთოდ ხელმისაწვდომი კერძო გზით. გაყოფილი გვირაბის გამონაკლისი პასუხობს, რომელი დანიშნულებები გვერდს უვლიან გვირაბს. ისინი ურთიერთშემცვლელი არ არის და თითოეული სხვანაირად იშლება, როცა გვირაბი იცვლება.
სამი შეკეთება, სამი ფენა
ქვემოთ მოცემული ყოველი ვარიანტი ნაკადს სხვადასხვა მიზეზით ასწორებს, და არასწორის არჩევა იძლევა კავშირს, რომელიც მომდევნო კარიბჭის ცვლილებამდე მუშაობს.
| Repair | Layer it changes | What it does not fix |
|---|---|---|
| Add the egress address to the rule | Source address matching | Nothing about routing, and it breaks when the egress moves |
| Use a private endpoint | Whether the service is reached privately | A client that still resolves the public name |
| Add a split-tunnel exception | Which flows bypass the tunnel | An expired credential or a wrong password |
გამავალი მისამართის დამატება ყველაზე მცირე ცვლილება და ყველაზე მყიფეა, რადგან ახალი კარიბჭე ან სხვა რეგიონი მას ჩუმად ბათილს ხდის. დაარეგისტრირეთ მისამართი გვირაბის განსაზღვრის გვერდით, რათა ორივე ერთად მოძრაობდეს. დროებითი ფართო დიაპაზონი დიაგნოსტიკაა და არა შეკეთება; მისი ადგილზე დატოვება ის გზაა, რომლითაც შიდა სერვისები ღიად რჩება.
რატომ ვერ შეუერთდება მართული პლატფორმა გვირაბს
აპლიკაციის პლატფორმები, როგორიცაა Heroku, AppHarbor ან CloudBees, თქვენს კოდს ისეთ გარემოში უშვებენ, სადაც tun ან tap მოწყობილობა არ არის და მისი შექმნის უფლებაც არ არსებობს. მათი შემომავალი მოდელი HTTP-ია და არა თვითნებური მოსმენის სოკეტი. VPN-ის ორობითი ფაილის მიმწოდებელ buildpack-ს მაინც არ აქვს ადგილი ინტერფეისის ჩასადგმელად. მუშა ნიმუშებია სტატიკური გამავალი მისამართი, რომლის დაშვებაც მონაცემთა ბაზას შეუძლია, პლატფორმის მიერ შემოთავაზებული კერძო კავშირის პროდუქტი ან DMZ-ში მდებარე პროქსი, რომელსაც HTTPS-ით აღწევენ.
ის პროქსი წვდომის გზაა საკუთარი ავთენტიფიკაციითა და ჩანაწერებით. ის პლატფორმას თქვენი VPN-ის წევრად არ აქცევს და ასე აღწერა ქმნის წესებს, რომელთა აუდიტიც ვერავის შეუძლია.
შეამოწმეთ იმ კლიენტიდან, რომელიც ჩავარდა
ხელახლა დაუკავშირდით და გაიმეორეთ კლიენტის ზუსტი გზა. შეამოწმეთ წყაროს მისამართი, რომელსაც სერვისი იწერს, მარშრუტი, რომელსაც კლიენტი მონაცემთა ბაზის სახელისთვის ირჩევს, და ფაქტობრივი მოთხოვნის შედეგი, სწორედ ამ თანმიმდევრობით. კარიბჭიდან ტესტი ამტკიცებს, რომ კარიბჭე მუშაობს, რაც არასოდეს ყოფილა ეჭვქვეშ. თუ კავშირი ახლა ავთენტიფიცირდება და მოთხოვნა მაინც იშლება, დარჩენილი პრობლემა მონაცემთა ბაზის ნებართვაა.
გადახედეთ ამ წესებს ყოველ ჯერზე, როცა გვირაბი იცვლება. შეცვლილი კარიბჭე ან ახალი გამავალი დიაპაზონი ტეხს გზას აპლიკაციის კონფიგურაციის არავითარი ცვლილების გარეშე.