VPN қосулы кезде бұлттық брандмауэр қандай мекенжайды көреді
Толық туннель дерекқорыңыз көретін бастапқы мекенжайды өзгертеді. Рұқсат тізімін, жеке жолды немесе бөлінген туннельді жылжытыңыз, тіркелгі деректерін емес.
VPN қосылғанға дейін жұмыс істеп, кейін сәтсіздікке ұшырайтын дерекқор сирек тіркелгі деректерінің мәселесі болады. Бұлттық брандмауэрлер бастапқы мекенжайларды салыстырады, ал толық туннель олар салыстырған мекенжайды ауыстырады. Ноутбуктің жіберетіні туралы ойлағаныңыз бен сервердің қабылдайтыны арасындағы айырмашылық — бүкіл қате және оны бір қадаммен өлшеуге болады.
Бастапқы мекенжай неге айналады
Толық туннельде әр пакет VPN қақпасы арқылы шығады, сондықтан сервер үй қосылымыңызды емес, қақпаның шығыс мекенжайын көреді. Жолда алға прокси болса, оның мекенжайы жетеді. Екеуі де заңды көздер және ешқайсысы сіздің бастапқы ережеңіздегі мекенжай емес.
Azure SQL-дің сервер деңгейіндегі және дерекқор деңгейіндегі брандмауэр ережелері логикалық серверге жететін клиент мекенжайын салыстырады, толық туннельден кейін бұл шығыс мекенжайы. Бір мекенжайға рұқсат беретін AWS қауіпсіздік тобы да осылай әрекет етеді. Пакет аутентификацияға дейін тасталады, сондықтан алынған қате рұқсат мәселесіне емес, желі ақауына ұқсайды. Адамдардың құпия сөздерді қайта орнатуды бастауының себебі дәл осы.
Рұқсат тізімі қайда шешіледі
Сәтсіз жолға сәйкес келетін ережені оқыңыз, жасағаныңызды есте сақтап қалған ережені емес. Оның ауқымын, портын, протоколын және кез келген жеке басын тексеруге дейін бағаланатынын байқаңыз.
Содан кейін бұл шешімге қай қабат заңды түрде ие екенін анықтаңыз. Мекенжай ережесі трафиктің қайдан келетінін жауаптайды. Жеке соңғы нүкте қызметтің жеке жол арқылы жалпы қолжетімді екенін жауаптайды. Бөлінген туннель ерекшелігі қандай барар жерлер туннельді айналып өтетінін жауаптайды. Олар өзара алмастырылмайды және туннель өзгергенде әрқайсысы басқаша сәтсіздікке ұшырайды.
Үш жөндеу, үш қабат
Төмендегі әр нұсқа ағынды басқа себеппен түзетеді, ал қатесін таңдау келесі қақпа өзгерісіне дейін жұмыс істейтін қосылым береді.
| Repair | Layer it changes | What it does not fix |
|---|---|---|
| Add the egress address to the rule | Source address matching | Nothing about routing, and it breaks when the egress moves |
| Use a private endpoint | Whether the service is reached privately | A client that still resolves the public name |
| Add a split-tunnel exception | Which flows bypass the tunnel | An expired credential or a wrong password |
Шығыс мекенжайын қосу — ең шағын өзгеріс және ең нәзік, себебі жаңа қақпа немесе басқа аймақ оны үнсіз жарамсыз етеді. Мекенжайды туннель анықтамасының жанына құжаттаңыз, сонда екеуі бірге жылжиды. Уақытша кең ауқым — диагностика, жөндеу емес; оны орнында қалдыру ішкі қызметтердің ашық қалу жолы.
Неге басқарылатын платформа туннельге қосыла алмайды
Heroku, AppHarbor немесе CloudBees сияқты қолданба платформалары кодыңызды tun немесе tap құрылғысы жоқ және оны жасауға құқығы жоқ ортада іске қосады. Олардың кіріс моделі — HTTP, еркін тыңдайтын сокет емес. VPN екілік файлын тасымалдайтын buildpack-те интерфейсті қоятын орын жоқ. Жұмыс істейтін үлгілер: дерекқор рұқсат бере алатын статикалық шығыс мекенжайы, платформа ұсынатын жеке қосылым өнімі немесе DMZ-дегі HTTPS арқылы қол жеткізілетін прокси.
Бұл прокси — өз аутентификациясы мен журналы бар кіру жолы. Ол платформаны VPN-ге мүше етпейді, ал оны осылай сипаттау ешкім тексере алмайтын ережелер тудырады.
Сәтсіздікке ұшыраған клиенттен тексеріңіз
Қайта қосылып, клиенттің дәл жолын қайталаңыз. Қызмет жазатын бастапқы мекенжайды, клиент дерекқор атауы үшін таңдайтын маршрутты және нақты сұраудың нәтижесін осы ретпен тексеріңіз. Қақпадан жасалған тест қақпаның жұмыс істейтінін дәлелдейді, бұл ешқашан күмән тудырмаған. Егер қосылым енді аутентификациядан өтсе де сұрау әлі сәтсіз болса, қалған мәселе — дерекқор рұқсаты.
Туннель өзгерген сайын осы ережелерді қарап шығыңыз. Ауыстырылған қақпа немесе жаңа шығыс ауқымы қолданба конфигурациясында ешбір өзгеріссіз жолды үзеді.