SQL caur VPN: tiešs klients vai iekšēja darbstacija?

Komandas vēlas SSMS savos klēpjdatoros, un ātrais risinājums ir publicēt SQL portu VPN pūlā. Lēnākā atbilde jautā, kur klienta procesam jādarbojas, jo tieša piekļuve un iekšēja darbstacija rada atšķirīgas avota adreses, galapunkta uzticēšanos un datu ceļus. Neviens nav automātiski drošs, un vien VPN dalība neko neizšķir. Salīdziniet projektus pirms atļaujas noteikuma pastāvēšanas.

Divi ceļi, divas avota adreses

Tiešā piekļuvē klēpjdators nes klienta konfigurāciju un pats atver datubāzes savienojumu. Attālinātā darbstacijā klēpjdators atver darbvirsmas sesiju, un darbstacija izveido SQL savienojumu no savas adreses. Tāpēc datubāze pirmajā projektā redz VPN pūlu vai pārtulkotu vārteju, bet otrajā – darbstacijas adresi. Šī atšķirība izšķir, kāds ugunsmūra noteikums un kāda SQL atļauja patiešām tiek piemērota.

Klēpjdators joprojām kontrolē attālināto sesiju, tāpēc darbstacija neaizstāj lietotāja autentifikāciju vai sesijas politiku.

Pārbaudiet, ko datubāze patiešām redz

Avota adrese ir jāmēra, nevis jāsecina no diagrammas. Lasiet to aktīva savienojuma servera pusē.

Test-NetConnection sql.example.com -Port 1433
sqlcmd -S tcp:sql.example.com,1433 -N -d appdb -Q "select SUSER_SNAME() as login_name, DB_NAME() as db"

Savienojamības tests pierāda, ka klausītājs pieņem TCP no šī tīkla, bet vaicājums pierāda, kuru pieteikšanos un datubāzi sesija sasniedza. Lai redzētu servera reģistrēto adresi, vaicājiet sys.dm_exec_connections pašreizējai sesijai; tas atgriež klienta adresi pēc jebkuras tulkošanas. Ja šī vērtība ir vārteja, nevis klēpjdators, uz lietotāju attiecināms resursdatora noteikums nevar darboties datubāzes mašīnā. Pierakstiet novēroto vērtību blakus izvēlētajam projektam, jo atkārtoti savienojumi un pūla izmaiņas to pārvieto.

Atveriet klausītāju un neko vairāk

Atveriet tikai to pakalpojumu, kas nepieciešams izvietojumam. Pazīstamais 1433 ir noklusējuma instances ports, nevis universāla konstante.

Get-NetTCPConnection -State Listen -LocalPort 1433

Nosauktās instances bieži klausās dinamiskā portā, un SQL Server Browser atbild uz atklāšanu UDP 1434, un šī atkarība ir atsevišķa pakļautība, kas jāpamato. Fiksēta porta piesaiste instancei novērš vajadzību pēc Browser un padara ugunsmūra noteikumus stabilus. Saglabājiet šifrēšanas un sertifikātu pārbaudes, ko klients jau veic, tā vietā lai tās izslēgtu, lai tests izietu. Pēc tam piešķiriet datubāzes lomas darba slodzei, nevis pievienojiet visu VPN grupu servera lomai.

Pierādiet atļauto ceļu un aizliegto

Atveriet jaunu sesiju kā parasts apstiprināts lietotājs un apstipriniet servera identitāti, datubāzi un nepieciešamo darbību. Pēc tam apstipriniet izslēgumu: avotam vai kontam ārpus politikas ir jāsabrūk šajā pašā testā. Darbstacijas projektam pārbaudiet, vai klēpjdators nevar apiet robežu, tieši sasniedzot datubāzi. Tiešai piekļuvei pārbaudiet, vai maršruts un avota noteikums joprojām ir spēkā pēc atkārtota savienojuma.

Pierakstiet, kur klients darbojās, kādu avotu datubāze novēroja un kāds noteikums to atļāva. Tie ir pierādījumi, ko prasīs nākamā pārskatīšana.