Lokalen Datebank-Client, private RDS: firwat d’Verbindung ofleeft

E lokale Client erreecht eng privat RDS-Instanz aus dräi getrennte Grënn net. Iwwerpréift Split-DNS, d’Route an d’Beweiser vun der Sécherheetsgrupp, ier Dir eppes ännert.

Den Laptop vun engem Entwéckler leeft of beim Verbannen mam private RDS-Endpunkt, während déi selwecht Umeldungsdaten vun engem Bastion-Host funktionéieren. Näischt ass erofgefall. Um Wee tëscht deem Laptop an der Datebank feelt eng vun dräi Saachen: en Numm, deen sech opléist, eng Route, déi den Trafick dréit, oder eng Regel an der Sécherheetsgrupp, déi d’Quell erlaabt, déi d’Datebank tatsächlech gesäit. Fannt eraus, wéi eng feelt, ier Dir déi aner zwou ännert.

Liest den Ausfall op der richteger Schicht

En Ofleef ass net ee Fehler. En Numm, dee sech net opléist, schléit feelt, ier e Paket d’Maschinn verléisst. Eng Adress ouni Route schéckt Pakete an en schwaarzt Lach. E gefilterte Port erzeugt e Waarden, dat genee wéi e falschen Host ausgesäit. Féiert d’Schrëtt an der Rei aus a stoppt beim éischten, dee feelt schléit.

dig +short db.internal.example
nc -vz db.internal.example 5432

Wann den Numm eng ëffentlech Adress zréckgëtt, oder näischt, ass den Tunnel nach net de Problem.

Wann den Numm sech opléist an den Porttest hänkt, vergläicht d’Adress, déi Dir opgeléist hutt, mat der Adress, déi d’Datebank mellt. En verwalteten Endpunkt kann sech op eng privat Adress bannent der VPC an op näischt Nëtzlesches dobaussen opléisen, an eng Adress, déi aus enger aler Sich kopéiert gouf, weist op en Host, deen net méi äntwert.

Trennt den Tunnel vun der Route

E Client-VPN verbannen routeet net automatesch all privat Beräich. De Profil dréit d’Routen, déi den Déngscht stécht, an de Client installéiert vläicht nëmmen der e puer. Kuckt, wéi eng Beräicher de Client tatsächlech bäigefüügt huet an ob d’Datebankadress an eng dovu fält.

ip route get 10.20.40.15
ip addr show tun0

Eng Route, déi op d’Tunnelinterface weist, ass noutwendeg; se ass net genuch, well déi aner Säit den Trafick nach ëmmer muss unhuelen.

Split-Tunnel-Profiler sinn déi üblech Quell vun dësem hallefen Ausfall. Si funktionéieren fir d’Applikatioun, fir déi de Profil entworf gouf, a loossen de Beräich vun der Datebank baussen dem Tunnel, wat genee deen Ofleef produzéiert, deen eng Firewall produzéiere géif.

Passt d’Sécherheetsgrupp un déi richteg Quell un

D’RDS-Sécherheetsgrupp erlaabt Quelle, net Leit. Je no Architektur kann d’Quell de VPN-Clientpool sinn, d’privat Adress vun engem Bastion oder eng NAT-Adress, op déi den Trafick iwwersat gëtt. Liest d’Regel an d’tatsächlech Quell vum Paket zesummen.

aws ec2 describe-security-groups --group-ids sg-0123456789abcdef0 \
  --query 'SecurityGroups[].IpPermissions'

Eng Regel fir d’Heemadress vun engem eenzege Laptop ass e Maintenanceproblem an net en Zougangsdesign.

Wann e Client-VPN oder en NAT-Gateway um Wee sëtzt, kann d’Datebank d’Adress vum Iwwersetzer gesinn amplaz vun der Tunneladress vum Entwéckler. Dofir kann eng Regel, déi aus enger funktionéierender Bastion-Astellung kopéiert gouf, fir e Laptop feel schloen: déi zwee Weeër kommen aus verschiddene Quellen, obwuel béid intern ausgesinn.

Bevirzugt en schmuele Wee virun engem breede

Wann een Entwéckler eng Datebank brauch, ass eng sessiounsbaséiert Weiderleitung dacks méi bëlleg ze bedreiwen wéi en kompletten Netzwierktunnel. De lokale Client verbënnt mat engem weidergeleeten Port, an dee wäite Komponent stellt d’Datebankverbindung vun bannent dem Netzwierk hier.

ssh -N -L 5432:db.internal.example:5432 bastion.internal.example

Hält d’TLS-Iwwerpréiwung an deem Design intakt. De Client sollt nach ëmmer d’Serverzertifikat géint den Numm validéieren, deen en erwaart; en lokale weidergeleeten Port ass kee Grond, d’Iwwerpréiwung auszeschalten, an se auszeschalten verstoppt genee de Identitéitsproblem, deen et wäert ass ze fänken.

D’Wiel tëscht engem kompletten Tunnel an enger schmueler Weiderleitung ass eng Entscheedung iwwer den Ëmfang, net iwwer Sécherheetstheater.

Loosst en neeshmbare Wee hannert Iech

Dokumentéiert den Endpunktnumm amplaz vun enger opgeléister Adress, de Quellberäich, deen d’Sécherheetsgrupp erlaabt, an d’Datebankroll, déi den Entwéckler benotzt. Déi dräi Fakten erklären déi meescht zukünfteg Ausfäll ouni Uruff. Füügt och d’Versioun vum Clientprofil derbäi, well eng Profilännerung eng Route ka wechhuelen, déi déi al gedroen huet.

Da testt de negative Fall eng Kéier: e Client baussen der guttgeheeschter Quell soll nach ëmmer ofgeleent ginn.

Eng privat Datebank, déi nëmme fir déi Persoun funktionéiert, déi se ageriicht huet, ass keen private Zougang; se ass eng ondokumentéiert Ausnam, déi drop waart, erëm entdeckt ze ginn. Schreift de Wee op, an den nächsten Entwéckler ierft eng Method amplaz vun engem Rätsel.

Ähnlech Artikelen