Blockéiert e kommerzielle VPN de Port 5432? Verglach Är Optiounen

D'Applikatioun huet all Dag vum Büro aus mat senger Datebank geschwat. Duerno huet een de kommerzielle VPN-Client op deem selwechte Laptop ageschalt, an d'Verbindung huet ugefaang sech nom Handshake z'erëm z'initialiséieren. An der Applikatioun huet sech näischt geännert, den Tunnel mellt sech gesond, an d'Firewall déi Dir kontrolléiert huet keng Blockéierregel. Wat sech geännert huet, ass de Wuechtwee: d'Servere vum Ubieder sinn gedeelt Endpunkten mat villém Trafic, an d'Ubieder filtere Wueschtporte fir Mëssbrauch ze reduzéieren. Datebank- a Mailversandporte kréien de gréissten Deel dovun, well dat genee d'Porte sinn déi Scannen a Spam aus engem anonymen Adresspool ugezunn hunn.

Den Test vu fënnef Minutten, dee Filteren vun allem aneren trennt

Vun der selwechter Maschinn aus, prüft ee Port dee muss op sinn an de Port dee feelt, op deem selwechten Host, mat dem Tunnel un an dann aus. Benotzt déi selwecht Kommando zweemol, sou datt déi eenzeg Variabel den Tunnel ass:

Test-NetConnection db.example.com -Port 443
Test-NetConnection db.example.com -Port 5432
nc -vz -w3 db.example.com 5432

Véier Resultater decke bal all Fall of. Wann 443 funktionéiert an 5432 just mam Tunnel un feelt, gesitt Dir Portfilteren um Wuechtwee. Wann béid mam Tunnel un feelen a béid ouni funktionéieren, ass de Problem Routing oder DNS, net Portpolitik. Wann béid Porten sech verbannen awer d'Applikatioun nach ëmmer feelt, ass de Feeler Authentifikatioun oder TLS, net Erreechbarkeet. A wann just eng Serverplaz vum Ubieder feelt, ass et eng Politik pro Server, also probéiert eng aner Plaz ier Dir eng Konfiguratioun ufänkt.

Optioun een: Split-Tunnel fir de Datebanksubnetz

Wann de Laptop de kommerzielle VPN just fir aner Zwecker brauch, schléisst de Adressberäich vun der Datebank aus dem Tunnel aus, sou datt den Trafic ni an de gedeelte Wuecht erakënnt. Dëst ass déi propperst Optioun wann déi zwou Weeër wierklech net musse begéinen, an et kascht näischt ausser enger Routingregel déi Dir dokumentéiere kënnt. Den Handel ass, datt Split-Tunneling eng zweet Politikfläch aféiert: wat aus dem Tunnel ausgeschloss ass, muss bewosst sinn, net en Nieweneffekt vun engem Subnetz deen een duerno bäigefüügt huet.

Et hält op ze funktionéieren an deem Moment wou d'Datebank an dem Netz läit dat de VPN soll erreechen, also prüft dat ier Dir Iech dofir entscheet.

Optioun zwee: Ären eegenen Endpunkt, Ären eegene Wuecht

E klenge VPN-Endpunkt op engem VPS bedreiwen gëtt Iech d'Kontroll iwwer d'Wuechtpolitik, an et ass kee gedeelte Pool bedeelegt. Dëst ass d'Optioun déi et wäert ass éierlech mam kommerzielle Client ze vergläichen: Dir gewënnt eng viraussobar Quelladress a verléiert dem Ubieder säi globalen Foussofrock a Komfort. Fir en Team deen de ganzen Dag Datebank- a Mailporte brauch, geet den Handel meeschtens zu Gonschte vum eegenen Endpunkt aus, well de Feelmode gëtt Är eege Fehlkonfiguratioun an net dem aneren seng Mëssbrauchspolitik.

Vergläicht déi zwee op Stabilitéit vun der Quelladress, drop wien Ären Trafic liese kann, an drop wat geschitt den Dag wou den Ubieder vum Endpunkt seng eege Filterung ännert.

Optioun dräi: hëlt de Laptop aus dem Wee

En CI-Job, e geplangte Container oder en Bastionhost am erlaabten Netz hänkt net vum Tunnelzoustand vun engem Mënsch of. Erreecht d'Datebank iwwer SSH-Tunnel vun engem Host aus deen schonn erlaabt ass, an de Laptop schwätzt ni direkt mam Port. Dëst ass d'Optioun déi skaléiert wann e puer Leit op déi selwecht Restriktioun stoussen, an et ass och déi déi de Problem ewechhëlt amplaz en z'ëmginn.

Et brauch méi Aarbecht am Viraus wéi eng Split-Tunnelregel, an et hëlleft där eenzer Persoun net déi grad elo eng interaktiv Sëtzung brauch.

Firwat d'Adress vum Ubieder op eng Erlaabneslëscht ze setzen de falsche Verglach ass

Dem Ubieder seng Wuechtadress op eng Datebank-Erlaabneslëscht ze setzen funktionéiert, an et gëtt och all anerem Abonnent Zougang deen déi Adress an deem Moment deelt. Fir eng Läse-nëmmen-Replika hannert engem enk verginnene Applikatiounskonto kann d'Expositioun fir een Dag tolerabel sinn. Fir alles wat schreifbar ass ass et keen Handel deen den Numm verdéngt, an dréiend Wuechtadressen maachen et méi schlëmm: all Serverännerung brécht d'Regel, an d'Ënnerhalt invitéiert breet CIDR-Entréeën déi den Zweck vun enger Erlaabneslëscht zerstéieren.

Dedizéiert oder statesch Adressen, wou den Ubieder se verkeeft, sinn déi eenzeg Versioun dovun déi skaléiert. Schlësselt d'Erlaabneslëscht un eng Adress déi just Är ass, oder schlësselt se guer net.

Wat Dir och wielt, schreift de Wee an de Grond op. Déi nächst Persoun wäert déi selwecht zréckgesat Verbindung erliewen an ufänken d'Applikatioun ze beschëllegegen.