Vai komerciālais VPN bloķē portu 5432? Salīdziniet savas iespējas

Lietotne katru dienu no biroja sazinājās ar savu datubāzi. Tad kāds tajā pašā klēpjdatorā ieslēdza komerciālo VPN klientu, un savienojums sāka atiestatīties pēc rokasspiediena. Lietotnē nekas nemainījās, tunelis ziņo, ka ir vesels, un ugunsmūrim, kuru jūs kontrolējat, nav bloķēšanas noteikuma. Mainījās izejas ceļš: pakalpojumu sniedzēja serveri ir koplietoti, liela trafika galapunkti, un sniedzēji filtrē izejošos portus, lai samazinātu ļaunprātīgu izmantošanu. Datubāzu un pasta sūtīšanas porti saņem lielāko daļu, jo tieši šie porti piesaista skenēšanu un surogātpastu no anonīma adrešu kopuma.

Piecu minūšu tests, kas atdala filtrēšanu no visa pārējā

No tās pašas mašīnas pārbaudiet vienu portu, kuram jābūt atvērtam, un portu, kas neizdodas, tajā pašā resursdatorā, ar tuneli ieslēgtu un pēc tam izslēgtu. Abas reizes izmantojiet to pašu komandu, lai vienīgais mainīgais būtu tunelis:

Test-NetConnection db.example.com -Port 443
Test-NetConnection db.example.com -Port 5432
nc -vz -w3 db.example.com 5432

Četri iznākumi aptver gandrīz visus gadījumus. Ja 443 darbojas un 5432 neizdodas tikai ar ieslēgtu tuneli, jūs redzat portu filtrēšanu izejas ceļā. Ja abi neizdodas ar tuneli un abi darbojas bez tā, problēma ir maršrutēšanā vai DNS, nevis portu politikā. Ja abi porti savienojas, bet lietotne joprojām neizdodas, vaina ir autentifikācijā vai TLS, nevis sasniedzamībā. Un ja neizdodas tikai viena pakalpojumu sniedzēja servera atrašanās vieta, tā ir politika uz serveri, tāpēc pirms jebkuras konfigurācijas aizskaršanas izmēģiniet citu vietu.

Pirmais variants: sadalīts tunelis datubāzes apakštīklam

Ja klēpjdatoram komerciālais VPN vajadzīgs tikai citiem mērķiem, izslēdziet datubāzes adrešu diapazonu no tuneļa, lai trafiks nekad neiekļūtu koplietotajā izejā. Šis ir tīrākais variants, kad abiem ceļiem tiešām nav jāsatiekas, un tas neizmaksā neko vairāk kā maršrutēšanas noteikumu, ko varat dokumentēt. Kompromiss ir tāds, ka sadalīts tunelis ievieš otru politikas virsmu: tam, kas izslēgts no tuneļa, jābūt apzinātam, nevis vēlāk kāda pievienota apakštīkla blakusefektam.

Tas pārstāj darboties tajā brīdī, kad datubāze atrodas tīklā, kuru VPN ir paredzēts sasniegt, tāpēc pārbaudiet to pirms apņemšanās.

Otrais variants: jūsu pašu galapunkts, jūsu pašu izeja

Neliela VPN galapunkta darbināšana VPS serverī dod jums izejas politikas kontroli, un koplietots kopums tajā nepiedalās. Šis ir variants, ko ir vērts godīgi salīdzināt ar komerciālo klientu: jūs iegūstat paredzamu avota adresi un zaudējat pakalpojumu sniedzēja globālo pēdu un ērtības. Komandai, kurai datubāzu un pasta porti nepieciešami visu dienu, kompromiss parasti nosliecas par labu galapunkta īpašumam, jo atteices režīms kļūst jūsu pašu nepareizā konfigurācija, nevis kāda cita ļaunprātīgas izmantošanas politika.

Salīdziniet abus pēc avota adreses stabilitātes, pēc tā, kas var lasīt jūsu trafiku, un pēc tā, kas notiek tajā dienā, kad galapunkta sniedzējs maina savu filtrēšanu.

Trešais variants: izņemiet klēpjdatoru no ceļa

CI darbs, ieplānots konteiners vai bastiona resursdators atļautajā tīklā nav atkarīgs no cilvēka tuneļa stāvokļa. Sasniedziet datubāzi ar SSH tuneli no resursdatora, kas jau ir atļauts, un klēpjdators nekad nerunā ar portu tieši. Šis ir variants, kas mērogojas, kad vairāki cilvēki saskaras ar vienu un to pašu ierobežojumu, un tas arī novērš problēmu, nevis apiet to.

Tas prasa vairāk darba iepriekš nekā sadalīta tuneļa noteikums, un tas nepalīdz tam vienam cilvēkam, kuram tagad nepieciešama interaktīva sesija.

Kāpēc sniedzēja adreses iekļaušana atļauto sarakstā ir nepareizs salīdzinājums

Sniedzēja izejas adreses pievienošana datubāzes atļauto sarakstam darbojas, un tā arī piešķir piekļuvi katram citam abonentam, kas tajā brīdī koplieto šo adresi. Tikai lasīšanas replikai aiz šauri piešķirta lietotnes konta pakļautība var būt pieņemama vienu dienu. Jebkam rakstāmam tas nav kompromiss, ko ir vērts nosaukt, un rotējošas izejas adreses to padara sliktāku: katra servera maiņa salauž noteikumu, un uzturēšana aicina plašus CIDR ierakstus, kas iznīcina atļauto saraksta mērķi.

Īpašas vai statiskas adreses, tur kur sniedzējs tās pārdod, ir vienīgā šī risinājuma versija, kas mērogojas. Piesaistiet atļauto sarakstu adresei, kas ir tikai jūsu, vai nepiesaistiet to vispār.

Lai ko jūs izvēlētos, pierakstiet ceļu un iemeslu. Nākamais cilvēks saskarsies ar to pašu atiestatīto savienojumu un sāks vainot lietotni.