Коммерциялық VPN 5432 портын бөгей ме? Опцияларыңызды салыстырыңыз

Қолданба күн сайын кеңседен өзінің дерекқорымен сөйлесетін. Содан кейін біреу сол ноутбукте коммерциялық VPN клиентін қосып, қосылым қол алысудан кейін қайта орнатыла бастады. Қолданбада ештеңе өзгерген жоқ, туннель өзін сау деп хабарлайды, ал сіз басқаратын брандмауэрде бөгеу ережесі жоқ. Өзгерген нәрсе — шығу жолы: провайдер серверлері ортақ, жоғары трафикті соңғы нүктелер, ал провайдерлер теріс пайдалануды азайту үшін шығыс порттарын сүзеді. Дерекқор мен пошта жіберу порттары мұның басым бөлігін алады, өйткені анонимді мекенжай пулынан сканерлеу мен спамды тартатын дәл осы порттар.

Сүзгілеуді қалғанның бәрінен ажырататын бес минуттық тест

Сол машинадан ашық болуы тиіс бір портты және қате беретін портты сол хостта, туннель қосулы және содан кейін өшірілген күйде тексеріңіз. Екі жолы да бірдей пәрменді қолданыңыз, сонда жалғыз айнымалы туннель болсын:

Test-NetConnection db.example.com -Port 443
Test-NetConnection db.example.com -Port 5432
nc -vz -w3 db.example.com 5432

Төрт нәтиже барлық дерлік жағдайды қамтиды. Егер 443 жұмыс істеп, 5432 тек туннель қосулы кезде қате берсе, сіз шығу жолындағы порт сүзгілеуін көріп отырсыз. Егер туннель қосулы кезде екеуі де қате беріп, онсыз екеуі де жұмыс істесе, мәселе порт саясатында емес, маршруттауда немесе DNS-те. Егер екі порт та қосылып, бірақ қолданба әлі де қате берсе, кінә қолжетімділікте емес, аутентификацияда немесе TLS-те. Ал егер провайдердің тек бір сервер орналасуы қате берсе, бұл сервер бойынша саясат, сондықтан кез келген конфигурацияға тиіспес бұрын басқа орналасуды байқап көріңіз.

Бірінші нұсқа: дерекқор ішкі желісі үшін бөлінген туннель

Егер ноутбукке коммерциялық VPN тек басқа мақсаттар үшін қажет болса, дерекқордың мекенжай ауқымын туннельден шығарып тастаңыз, сонда трафик ортақ шығысқа мүлде кірмейді. Бұл екі жол шынымен тоғысуы қажет болмаған кездегі ең таза нұсқа, және құжаттай алатын маршруттау ережесінен басқа ештеңе тұрмайды. Сауда — бөлінген туннель екінші саясат бетін енгізеді: туннельден шығарылған нәрсе әдейі болуы керек, кейінірек біреу қосқан ішкі желінің жанама әсері емес.

Дерекқор VPN жетуі тиіс желінің ішінде орналасқан сәтте ол жұмысын тоқтатады, сондықтан бұған келіспес бұрын соны тексеріңіз.

Екінші нұсқа: өз соңғы нүктеңіз, өз шығысыңыз

VPS-те шағын VPN соңғы нүктесін жүргізу шығыс саясатын бақылауды өз қолыңызға береді және ортақ пул қатыспайды. Бұл коммерциялық клиентпен адал салыстыруға тұрарлық нұсқа: болжамды бастауыш мекенжайға ие боласыз, бірақ провайдердің жаһандық ізін және қолайлылығын жоғалтасыз. Дерекқор мен пошта порттары күні бойы қажет команда үшін сауда әдетте соңғы нүктеге иелік етудің пайдасына шешіледі, өйткені істен шығу режимі біреудің теріс пайдалану саясаты емес, сіздің өз қате конфигурацияңыз болады.

Екеуін бастауыш мекенжайдың тұрақтылығы, трафигіңізді кім оқи алатыны және соңғы нүктенің провайдері өз сүзгісін өзгертетін күні не болатыны бойынша салыстырыңыз.

Үшінші нұсқа: ноутбукты жолдан шығарыңыз

CI жұмысы, жоспарланған контейнер немесе рұқсат етілген желінің ішіндегі бастион хосты адамның туннель күйіне тәуелді емес. Рұқсат етілген хосттан SSH туннелі арқылы дерекқорға жетіңіз, ал ноутбук портпен ешқашан тікелей сөйлеспейді. Бұл бірнеше адам бір шектеуге тап болғанда масштабталатын нұсқа және мәселені айналып өтудің орнына жоятын нұсқа.

Бұл бөлінген туннель ережесіне қарағанда алдын ала көбірек жұмыс талап етеді және дәл қазір интерактивті сессия қажет адамға көмектеспейді.

Неге провайдердің мекенжайын рұқсат етілгендер тізіміне қою дұрыс емес салыстыру

Провайдердің шығу мекенжайын дерекқордың рұқсат етілгендер тізіміне қосу жұмыс істейді және сол сәтте бұл мекенжайды бөлісетін әрбір басқа абонентке де қолжетімділік береді. Тар берілген қолданба тіркелгісінің артындағы тек оқуға арналған реплика үшін әшкерелену бір күнге шыдауға болады. Жазылатын кез келген нәрсе үшін бұл атауға тұрарлық сауда емес, ал айналмалы шығу мекенжайлары оны нашарлатады: әрбір сервер өзгерісі ережені бұзады, ал қызмет көрсету рұқсат етілгендер тізімінің мақсатын жоятын кең CIDR жазбаларын шақырады.

Арнайы немесе статикалық мекенжайлар, провайдер оларды сататын жерде, бұның масштабталатын жалғыз нұсқасы. Рұқсат етілгендер тізімін тек өзіңізге тиесілі мекенжайға байлаңыз немесе мүлде байламаңыз.

Не таңдасаңыз да, жол мен себепті жазып қойыңыз. Келесі адам дәл сол қайта орнатылатын қосылымға тап болады және қолданбаны кінәлай бастайды.