Жергиликтүү маалымат базасынын кардары жана жеке RDS: байланыш эмне үчүн убакыттан өтүп кетет

Бир иштеп чыгуучунун ноутбугу жеке RDS акыркы чекитине туташканда убакыттан өтүп кетет, ал эми ошол эле эсептик маалыматтар бастион хостунан иштейт. Эч нерсе түшкөн жок. Ошол ноутбук менен маалымат базасынын ортосундагы жолго үч нерсенин бири жетишпейт: чечилүүчү ат, трафикти ташуучу маршрут же маалымат базасы чындап көргөн булакка уруксат берүүчү коопсуздук тобунун эрежеси. Калган экөөнү өзгөртүүдөн мурун кайсынысы жетишпейт экенин аныктаңыз.

Ишке ашпоону туура катмарда окуңуз

Убакыттан өтүү бир ката эмес. Чечилбеген ат пакет машинадан чыкпастан мурун ишке ашпай калат. Маршруту жок дарек пакеттерди кара чуңкурга жиберет. Чыпкаланган порт туура эмес хостко так окшош күтүүнү жаратат. Кадамдарды ирети менен аткарыңыз жана биринчи ишке ашпаган кадамда токтоңуз.

dig +short db.internal.example
nc -vz db.internal.example 5432

Эгер ат коомдук даректи кайтарса же эч нерсе кайтарбаса, туннель азырынча көйгөй эмес.

Эгер ат чечилип, порт сыноосу илинип калса, чечкен даректи маалымат базасы билдирген дарек менен салыштырыңыз. Башкарылуучу акыркы чекит VPC ичинде жеке дарекке, ал эми сыртында эч кандай пайдалуу нерсеге чечилиши мүмкүн, ал эми эски издөөдөн көчүрүлгөн дарек эми жооп бербеген хостту көрсөтөт.

Туннелди маршруттан бөлүңүз

Кардар VPNди туташтыруу ар бир жеке диапазонду автоматтык түрдө маршруттабайт. Профиль кызмат түрткөн маршруттарды ташыйт, ал эми кардар алардын бир бөлүгүн гана орнотушу мүмкүн. Кардар чындап кайсы диапазондорду кошконун жана маалымат базасынын дареги ошолордун бирине кирерин караңыз.

ip route get 10.20.40.15
ip addr show tun0

Туннель интерфейсине багытталган маршрут зарыл; бирок жетишсиз, анткени каршы тарап трафикти дагы эле кабыл алышы керек.

Бөлүнгөн туннель профилдери бул жарым ишке ашпоонун кадимки булагы. Алар профиль долбоорлонгон колдонмо үчүн иштейт жана маалымат базасынын диапазонун туннелден сыртка калтырат, бул брандмауэр жарата турган убакыт өтүүсүн так жаратат.

Коопсуздук тобун чыныгы булакка шайкеш келтириңиз

RDS коопсуздук тобу адамдарга эмес, булактарга уруксат берет. Архитектурага жараша булак VPN кардарлар пулу, бастиондун жеке дареги же трафик которулган NAT дареги болушу мүмкүн. Эрежени жана пакеттин чыныгы булагын чогуу окуңуз.

aws ec2 describe-security-groups --group-ids sg-0123456789abcdef0 \
  --query 'SecurityGroups[].IpPermissions'

Бир ноутбуктун үй дареги үчүн эреже кирүү долбоору эмес, тейлөө көйгөйү.

Жолдо кардар VPN же NAT дарбазасы турса, маалымат базасы иштеп чыгуучунун туннель дарегинин ордуна котормочунун дарегин көрүшү мүмкүн. Ошондуктан иштеген бастион жөндөөсүнөн көчүрүлгөн эреже ноутбук үчүн ишке ашпай калышы мүмкүн: эки жол ар башка булактардан келет, экөө тең ички болуп көрүнсө да.

Кенен жолдон кууш жолду тандаңыз

Бир иштеп чыгуучуга бир маалымат базасы керек болгондо, сессияга негизделген өткөрүү толук тармактык туннелге караганда арзан болот. Жергиликтүү кардар өткөрүлгөн портко туташат, ал эми алыскы компонент маалымат базасынын байланышын тармактын ичинен түзөт.

ssh -N -L 5432:db.internal.example:5432 bastion.internal.example

Ошол долбоордо TLS текшерүүсүн бузулбаган бойдон сактаңыз. Кардар сервер сертификатын күткөн атына каршы текшерүүсү керек; жергиликтүү өткөрүлгөн порт текшерүүнү өчүрүүгө себеп эмес, ал эми аны өчүрүү кармоого татыктуу инсандык көйгөйдү так жашырат.

Толук туннель менен кууш өткөрүүнүн ортосундагы тандоо коопсуздук театры эмес, камтуу жөнүндө чечим.

Артыңызда кайталануучу жол калтырыңыз

Чечилген даректин ордуна акыркы чекиттин атын, коопсуздук тобу уруксат берген булак диапазонун жана иштеп чыгуучу колдонгон маалымат базасынын ролун документтештириңиз. Бул үч факт келечектеги каталардын көбүн чалуусуз түшүндүрөт. Кардар профилинин версиясын да кошуңуз, анткени профиль өзгөрүүсү эскиси ташыган маршрутту алып салышы мүмкүн.

Андан кийин терс учурду бир жолу текшериңиз: бекитилген булактан тышкаркы кардар дагы эле четке кагылышы керек.

Өзү жөндөгөн адамга гана иштеген жеке маалымат базасы жеке жетүү эмес; ал кайра ачылууну күтүп турган документтелбеген өзгөчөлүк. Жолду жазып коюңуз, ошондо кийинки иштеп чыгуучу табышмактын ордуна ыкманы мураска алат.