Коммерциялык VPN 5432 портун бөгөттөйбү? Параметрлерди салыштырыңыз

Колдонмо күн сайын кеңседен өзүнүн маалымат базасы менен сүйлөшчү. Анан бирөө ошол эле ноутбукта коммерциялык VPN клиентин күйгүздү, жана байланыш кол алышуудан кийин кайра орнотула баштады. Колдонмодо эч нерсе өзгөргөн жок, туннель өзүн ден-соолукта деп билдирет, ал эми сиз көзөмөлдөгөн брандмауэрде бөгөттөө эрежеси жок. Өзгөргөн нерсе — чыгуу жолу: провайдердин серверлери жалпы, жогорку трафиктүү акыркы чекиттер, ал эми провайдерлер терс пайдаланууну азайтуу үчүн чыгуучу портторду чыпкалашат. Маалымат базасы жана почта жөнөтүү порттору мунун көп бөлүгүн алышат, анткени анонимдүү даректер пулунан скандоо жана спам тарткан порттор дал ушулар.

Чыпкалоону калган нерселердин баарынан ажыратуучу беш мүнөттүк тест

Ошол эле машинадан ачык болушу керек болгон бир портту жана иштебей калган портту ошол эле хостто, туннель күйүк жана анан өчүк абалда текшериңиз. Эки жолу тең бирдей буйрукту колдонуңуз, ошондо жалгыз өзгөрмө туннель болот:

Test-NetConnection db.example.com -Port 443
Test-NetConnection db.example.com -Port 5432
nc -vz -w3 db.example.com 5432

Төрт натыйжа дээрлик бардык учурларды камтыйт. Эгер 443 иштеп, 5432 туннель күйүк убакта гана иштебей калса, сиз чыгуу жолундагы порт чыпкалоосун көрүп жатасыз. Эгер туннель күйүк убакта экөө тең иштебей, ал эми ансыз экөө тең иштесе, маселе порт саясатында эмес, маршруттоодо же DNS-те. Эгер эки порт тең туташып, бирок колдонмо дагы эле иштебей калса, күнөө жетүүдө эмес, аутентификацияда же TLS-те. Ал эми провайдердин бир гана сервер жайгашуусу иштебей калса, бул сервер боюнча саясат, ошондуктан кандайдыр бир конфигурацияга тийүүдөн мурун башка жайгашууну сынап көрүңүз.

Биринчи вариант: маалымат базасынын ички тармагы үчүн бөлүнгөн туннель

Эгер ноутбукка коммерциялык VPN башка максаттар үчүн гана керек болсо, маалымат базасынын дарек диапазонун туннелден чыгарып салыңыз, ошондо трафик жалпы чыгууга такыр кирбейт. Эки жол чындап эле кезигишүүгө муктаж болбогон учурда бул эң таза вариант, жана сиз документтештире алган маршруттоо эрежесинен башка эч нерсе турбайт. Соода — бөлүнгөн туннель экинчи саясат бетине киргизет: туннелден чыгарылган нерсе атайын болушу керек, кийинчерээк бирөө кошкон ички тармактын жаныма таасири эмес.

Маалымат базасы VPN жетүүгө тийиш болгон тармактын ичинде жайгашкан учурда ал иштебей калат, ошондуктан буга макул болуудан мурун аны текшериңиз.

Экинчи вариант: өзүңүздүн акыркы чекитиңиз, өзүңүздүн чыгууңуз

VPS-те кичинекей VPN акыркы чекитин жүргүзүү чыгуу саясатын көзөмөлдөөнү өз колуңузга берет, жана жалпы пул катышпайт. Бул коммерциялык клиент менен ак ниеттүү салыштырууга татыктуу вариант: алдын ала болжолдонуучу булак дарегине ээ болосуз жана провайдердин глобалдык изин жана ыңгайлуулугун жоготосуз. Маалымат базасы жана почта порттору күнү бою керек команда үчүн соода адатта акыркы чекитке ээлик кылуунун пайдасына чечилет, анткени иштебей калуу режими башка бирөөнүн терс пайдалануу саясаты эмес, сиздин өзүңүздүн туура эмес конфигурацияңыз болуп калат.

Экөөнү булак дарегинин туруктуулугу, трафигиңизди ким окуй алары жана акыркы чекиттин провайдери өзүнүн чыпкалоосун өзгөрткөн күнү эмне болору боюнча салыштырыңыз.

Үчүнчү вариант: ноутбукту жолдон чыгарыңыз

CI иши, пландаштырылган контейнер же уруксат берилген тармактын ичиндеги бастион хост адамдын туннель абалына көз каранды эмес. Уруксат берилген хосттон SSH туннели аркылуу маалымат базасына жетиңиз, ал эми ноутбук порт менен эч качан түз сүйлөшпөйт. Бул бир нече адам бир эле чектөөгө туш болгондо масштабдалуучу вариант жана маселени айланып өтүүнүн ордуна жок кылат.

Бул бөлүнгөн туннель эрежесине караганда алдын ала көбүрөөк иш талап кылат жана дал азыр интерактивдүү сессия керек болгон адамга жардам бербейт.

Эмне үчүн провайдердин дарегин уруксат берилгендер тизмесине кошуу туура эмес салыштыруу

Провайдердин чыгуу дарегин маалымат базасынын уруксат берилгендер тизмесине кошуу иштейт жана ошол учурда бул даректи бөлүшкөн ар бир башка абонентке да жетүү укугун берет. Тар берилген колдонмо эсебинин артындагы окууга гана арналган реплика үчүн ачыкка чыгуу бир күнгө чыдаса болот. Жазылуучу кандайдыр бир нерсе үчүн бул ат коюуга татыктуу соода эмес, ал эми айланма чыгуу даректери аны начарлатат: ар бир сервер өзгөрүүсү эрежени бузат, ал эми тейлөө уруксат берилгендер тизмесинин максатын жокко чыгарган кенен CIDR жазууларын чакырат.

Атайын же статикалык даректер, провайдер аларды саткан жерде, бул нерсенин масштабдалган жалгыз версиясы. Уруксат берилгендер тизмесин өзүңүзгө гана таандык дарекке байлаңыз, же такыр байлабаңыз.

Эмнени тандабаңыз, жолду жана себепти жазып коюңуз. Кийинки адам ошол эле кайра орнотулуп жаткан байланышка туш болуп, колдонмону күнөөлөй баштайт.