SQL iwwer VPN: direkte Client oder internen Aarbechtsplatz?

D'Teamme wëllen SSMS op hire Laptoppen, an déi séier Léisung ass den SQL-Port an de VPN-Pool ze publizéieren. Déi méi lues Äntwert freet, wou de Clientprozess soll lafen, well direkten Zougang an en internen Aarbechtsplatz ënnerschiddlech Quelladressen, Endpunkt-Vertrauen an Datenweeër schaaft. Keng vun deenen zwee ass automatesch sécher, an d'VPN-Memberschaft eleng entscheet näischt. Vergläicht d'Konzepter, ier et eng Erlaabnisregel gëtt.

Zwee Weeër, zwou Quelladressen

Bei direktem Zougang dréit de Laptop d'Clientkonfiguratioun an opent d'Datebankverbindung selbst. Bei engem entferten Aarbechtsplatz opent de Laptop eng Desktop-Sessioun, an den Aarbechtsplatz mécht d'SQL-Verbindung vu senger eegener Adress. D'Datebank gesäit dofir am éischte Konzept de VPN-Pool oder en iwwersaten Gateway an am zweete Konzept d'Adress vum Aarbechtsplatz. Dee Verschiddenheet entscheet, wéi eng Firewallregel a wéi eng SQL-Berechtegung tatsächlech gëllen.

De Laptop kontrolléiert nach ëmmer déi entfernt Sessioun, dofir ersetzt en Aarbechtsplatz net d'Benotzerauthentifikatioun oder d'Sessiounspolitik.

Préift, wat d'Datebank tatsächlech gesäit

D'Quelladress ass eppes, wat een moosst, amplaz et aus engem Diagramm ofzeleeden. Liest se op der Serversäit vun enger aktiver Verbindung.

Test-NetConnection sql.example.com -Port 1433
sqlcmd -S tcp:sql.example.com,1433 -N -d appdb -Q "select SUSER_SNAME() as login_name, DB_NAME() as db"

Den Test vun der Konnektivitéit beweisegt, datt de Listener TCP aus deem Netz ugeholl huet, wärend d'Ufro beweisegt, wéi eng Umeldung a wéi eng Datebank d'Sessioun erreecht huet. Fir d'Adress ze gesinn, déi de Server opgezeechent huet, froogt sys.dm_exec_connections fir déi aktuell Sessioun of; dëst gëtt d'Clientadress no all Iwwersetzung zréck. Wann dee Wäert en Gateway ass an net de Laptop, kann eng Hostregel pro Benotzer net op der Datebanksmaschinn funktionéieren. Schreift dee beobachtete Wäert niewent dem gewielten Konzept op, well Neiverbindungen a Poolännerungen en verréckelen.

Maacht de Listener op an näischt anescht

Maacht just de Service op, dee fir d'Deployement noutwendeg ass. Den bekannten 1433 ass de Port vun der Standardinstanz an net eng universell Konstante.

Get-NetTCPConnection -State Listen -LocalPort 1433

Benannte Instanzen lauschteren dacks op engem dynamesche Port, woubäi SQL Server Browser d'Entdeckung iwwer UDP 1434 beäntwert, an déi Ofhängegkeet ass eng separat Expositioun, déi muss begründet ginn. E feste Port fir d'Instanz festzeleeën hëlt d'Noutwendegkeet fir Browser ewech an mécht d'Firewallregele stabil. Behält d'Verschlësselungs- an Zertifikatskontrollen, déi de Client schonn duerchféiert, amplaz se auszeschalten, fir en Test ze bestoen. Gitt duerno Datebankrollen fir d'Aarbechtslaascht, amplaz déi ganz VPN-Grupp an eng Serverroll dobäizesetzen.

Beweist dee erlaabten an dee verwäerten Wee

Maacht eng nei Sessioun als gewéinlechen ugehollene Benotzer op, a bestätegt d'Identitéit vum Server, d'Datebank an d'Operatioun, déi néideg ass. Bestätegt duerno den Ausschloss: eng Quell oder e Kont ausserhalb vun der Politik muss deen selwechten Test net bestoen. Fir de Konzept vum Aarbechtsplatz, préift, datt de Laptop d'Grenz net ëmgoe kann, andeem en d'Datebank direkt erreecht. Fir direkten Zougang, préift, datt d'Route an d'Quellregel no enger Neiverbindung nach gëllen.

Schreift op, wou de Client gelaf ass, wéi eng Quell d'Datebank gesinn huet a wéi eng Regel et erlaabt huet. Dat ass de Beweis, deen déi nächst Iwwerpréiwung froen wäert.