Kādu adresi redz mākoņa ugunsmūris, kad jūsu VPN ir ieslēgts
Pilns tunelis maina avota adresi, ko redz jūsu datubāze. Pārvietojiet atļauto sarakstu, privāto ceļu vai sadalīto tuneli, nevis akreditācijas datus.
Datubāze, kas strādā pirms VPN pievienošanas un pēc tam neizdodas, reti ir akreditācijas datu problēma. Mākoņa ugunsmūri salīdzina avota adreses, un pilns tunelis aizstāj tieši to, ko tie salīdzināja. Starpība starp to, ko, jūsuprāt, sūta jūsu portatīvais dators, un to, ko saņem serveris, ir visa kļūda, un to var izmērīt vienā solī.
Par ko kļūst avota adrese
Pilnā tunelī katrs pakets iziet caur VPN vārteju, tāpēc serveris redz vārtejas izejas adresi, nevis jūsu mājas savienojumu. Ja ceļā ir pāradresējošs starpniekserveris, ierodas tā adrese. Abi ir likumīgi avoti, un neviens nav adrese jūsu sākotnējā noteikumā.
Azure SQL ugunsmūra noteikumi servera un datubāzes līmenī salīdzina klienta adresi, kas sasniedz loģisko serveri, un pēc pilna tuneļa tā ir izejas adrese. AWS drošības grupa, kas atļauj vienu adresi, uzvedas tāpat. Pakete tiek izmesta pirms autentifikācijas, tāpēc saņemtā kļūda izskatās kā tīkla atteice, nevis atļauju problēma. Tieši tāpēc cilvēki sāk atiestatīt paroles.
Kur tiek izlemts atļauto saraksts
Lasiet noteikumu, kas atbilst neizdevušajam ceļam, nevis to noteikumu, ko atceraties esam izveidojis. Ņemiet vērā tā tvērumu, portu, protokolu un to, vai tas tiek novērtēts pirms jebkādas identitātes pārbaudes.
Pēc tam izlemiet, kuram slānim šis lēmums likumīgi pieder. Adreses noteikums atbild, no kurienes nāk trafiks. Privāts galapunkts atbild, vai pakalpojums vispār ir sasniedzams pa privātu ceļu. Sadalītā tuneļa izņēmums atbild, kuri galamērķi apiet tuneli. Tie nav aizstājami, un katrs neizdodas citādi, kad tunelis mainās.
Trīs labojumi, trīs slāņi
Katra zemākā opcija labo plūsmu cita iemesla dēļ, un nepareizās izvēle rada savienojumu, kas darbojas līdz nākamajai vārtejas izmaiņai.
| Repair | Layer it changes | What it does not fix |
|---|---|---|
| Add the egress address to the rule | Source address matching | Nothing about routing, and it breaks when the egress moves |
| Use a private endpoint | Whether the service is reached privately | A client that still resolves the public name |
| Add a split-tunnel exception | Which flows bypass the tunnel | An expired credential or a wrong password |
Izejas adreses pievienošana ir mazākā izmaiņa un trauslākā, jo jauna vārteja vai cits reģions to klusi padara nederīgu. Dokumentējiet adresi blakus tuneļa definīcijai, lai abi kustētos kopā. Īslaicīgs plašs diapazons ir diagnostika, nevis labojums; tā atstāšana vietā ir veids, kā iekšējie pakalpojumi galu galā paliek atklāti.
Kāpēc pārvaldīta platforma nevar pievienoties tunelim
Lietojumprogrammu platformas, piemēram, Heroku, AppHarbor vai CloudBees, izpilda jūsu kodu vidē bez tun vai tap ierīces un bez tiesībām to izveidot. To ienākošais modelis ir HTTP, nevis patvaļīga klausoša ligzda. Buildpack, kas piegādā VPN bināro failu, joprojām nekur nevar ievietot saskarni. Strādājošie modeļi ir statiska izejas adrese, ko datubāze var atļaut, platformas piedāvātais privātā savienojuma produkts vai starpniekserveris DMZ, kas sasniedzams caur HTTPS.
Šis starpniekserveris ir piekļuves ceļš ar savu autentifikāciju un reģistrēšanu. Tas nepadara platformu par jūsu VPN dalībnieku, un šāds apraksts rada noteikumus, kurus neviens nevar auditēt.
Pārbaudiet no klienta, kas neizdevās
Pievienojieties vēlreiz un atkārtojiet precīzo klienta ceļu. Pārbaudiet avota adresi, ko reģistrē pakalpojums, maršrutu, ko klients izvēlas datubāzes nosaukumam, un faktiskā vaicājuma rezultātu, šajā secībā. Tests no vārtejas pierāda, ka vārteja darbojas, kas nekad nav bijis šaubu objekts. Ja savienojums tagad autentificējas un vaicājums joprojām neizdodas, atlikusī problēma ir datubāzes atļauja.
Pārskatiet šos noteikumus ikreiz, kad tunelis mainās. Nomainīta vārteja vai jauns izejas diapazons pārtrauc ceļu bez jebkādām lietojumprogrammas konfigurācijas izmaiņām.