VPN күйгүзүлгөндө булут брандмауэр кайсы даректи көрөт
Толук туннель маалымат базаңыз көргөн баштапкы даректи өзгөртөт. Уруксат тизмесин, жеке жолду же бөлүнгөн туннелди жылдырыңыз, эсептик маалыматты эмес.
VPN туташканга чейин иштеп, андан кийин иштебей калган маалымат базасы сейрек эсептик маалыматтын көйгөйү болот. Булут брандмауэрлер баштапкы даректерди салыштырат, ал эми толук туннель алар салыштырып жаткан даректи алмаштырат. Ноутбукуңуз жөнөтөт деп ойлогонуңуз менен сервер кабыл алган нерсенин ортосундагы айырма — бүт ката, жана аны бир кадам менен өлчөөгө болот.
Баштапкы дарек эмнеге айланат
Толук туннелде ар бир пакет VPN дарбазасы аркылуу чыгат, ошондуктан сервер үй байланышыңызды эмес, дарбазанын чыгуу дарегин көрөт. Жолдо алдыга прокси болсо, анын дареги жетет. Экөө тең мыйзамдуу булак, жана экөөнүн бири да сиздин баштапкы эрежеңиздеги дарек эмес.
Azure SQLдин сервер деңгээлиндеги жана маалымат базасы деңгээлиндеги брандмауэр эрежелери логикалык серверге жеткен клиент дарегин салыштырат, толук туннелден кийин бул чыгуу дареги. Бир дарекке уруксат берген AWS коопсуздук тобу да ушундай иштейт. Пакет аутентификацияга чейин ыргытылат, ошондуктан алган катаңыз уруксат маселесине эмес, тармактын бузулушуна окшош көрүнөт. Адамдардын сырсөздөрдү кайра коюп башташынын себеби так ушул.
Уруксат тизмеси кайда чечилет
Иштебей жаткан жолго дал келген эрежени окуңуз, жаратканды эстеп калган эрежени эмес. Анын камтылышын, портун, протоколун жана кандайдыр бир инсандык текшерүүдөн мурун бааланарын белгилеңиз.
Андан кийин бул чечимге кайсы катмар мыйзамдуу түрдө ээ экенин аныктаңыз. Дарек эрежеси трафиктин кайдан келерин жооп берет. Жеке акыркы чекит кызматтын жеке жол менен жеткиликтүү экенин жооп берет. Бөлүнгөн туннелдин өзгөчөлүгү кайсы багыттар туннелди айланып өтөрүн жооп берет. Алар алмаштырылбайт, жана туннель өзгөргөндө ар бири башкача иштебей калат.
Үч оңдоо, үч катмар
Төмөнкү ар бир вариант агымды башка себеп менен оңдойт, туура эмесин тандасаңыз кийинки дарбаза алмашканга чейин иштеген байланыш пайда болот.
| Repair | Layer it changes | What it does not fix |
|---|---|---|
| Add the egress address to the rule | Source address matching | Nothing about routing, and it breaks when the egress moves |
| Use a private endpoint | Whether the service is reached privately | A client that still resolves the public name |
| Add a split-tunnel exception | Which flows bypass the tunnel | An expired credential or a wrong password |
Чыгуу дарегин кошуу эң кичине өзгөртүү жана эң морт, анткени жаңы дарбаза же башка аймак аны үнсүз жараксыз кылат. Даректи туннелдин аныктамасынын жанына документтештириңиз, экөө бирге жылсын. Убактылуу кенен диапазон — диагностика, оңдоо эмес; аны ордунда калтыруу ички кызматтардын ачык калышынын жолу.
Эмне үчүн башкарылуучу платформа туннелге кошула албайт
Heroku, AppHarbor же CloudBees сыяктуу колдонмо платформалары кодду tun же tap түзмөгү жок жана аны түзүүгө укугу жок чөйрөдө иштетет. Алардын кирүү модели HTTP, каалаган угуучу сокет эмес. VPN бинардык файлын ташыган buildpack да интерфейсти коюуга орун таппайт. Иштеген үлгүлөр: маалымат базасы уруксат бере ала турган статикалык чыгуу дареги, платформа сунуш кылган жеке байланыш продуктысы, же DMZдеги HTTPS аркылуу жеткиликтүү прокси.
Ал прокси өзүнүн аутентификациясы жана журналы менен кирүү жолу. Ал платформаны VPNдин мүчөсү кылбайт, жана аны ушундай сүрөттөө эч ким текшере албаган эрежелерди жаратат.
Иштебей калган кардар тараптан текшериңиз
Кайра туташып, кардардын так жолун кайталаңыз. Кызмат жазуучу баштапкы даректи, кардар маалымат базасынын аты үчүн тандаган маршрутту жана чыныгы суроонун жыйынтыгын ушул тартипте текшериңиз. Дарбазадан жасалган тест дарбазанын иштешин далилдейт, бул эч качан шек туудурган эмес. Байланыш азыр аутентификациядан өтсө да суроо иштебей жатса, калган көйгөй — маалымат базасынын уруксаты.
Туннель өзгөргөн сайын бул эрежелерди карап чыгыңыз. Алмаштырылган дарбаза же жаңы чыгуу диапазону колдонмонун конфигурациясында эч кандай өзгөртүүсүз жолду үзөт.