Дали комерцијален VPN го блокира портот 5432? Споредете ги опциите

Апликацијата секој ден разговараше со својата база на податоци од канцеларијата. Потоа некој го вклучи комерцијалниот VPN клиент на истиот преносен компјутер, и врската почна да се ресетира по ракувањето. Ништо во апликацијата не се промени, тунелот известува дека е здрав, а firewall-от што го контролирате нема правило за блокирање. Она што се промени е излезната патека: серверите на давателот се споделени крајни точки со голем обем, а давателите филтрираат излезни порти за да го намалат злоупотребувањето. Порти за бази на податоци и за испраќање пошта добиваат најголем дел, зашто токму тие порти привлекуваат скенирање и спам од анонимен базен на адреси.

Петминутниот тест што го одделува филтрирањето од сè друго

Од истиот компјутер проверете една порта што мора да биде отворена и портата што не успева, на истиот хост, со тунелот вклучен и потоа исклучен. Користете ја истата команда и двата пати за единствената променлива да биде тунелот:

Test-NetConnection db.example.com -Port 443
Test-NetConnection db.example.com -Port 5432
nc -vz -w3 db.example.com 5432

Четири исходи покриваат речиси секој случај. Ако 443 работи, а 5432 не успева само со вклучен тунел, гледате филтрирање на порти на излезната патека. Ако двете не успеваат со тунел и двете работат без него, проблемот е во рутирањето или DNS, а не во политиката за порти. Ако двете порти се поврзат, но апликацијата сè уште не успева, вината е во автентикацијата или TLS, не во достапноста. И ако не успева само една локација на серверот на давателот, тоа е политика по сервер, затоа пробајте друга локација пред да допрете каква било конфигурација.

Опција еден: разделен тунел за подмрежата на базата на податоци

Ако преносниот компјутер го бара комерцијалниот VPN само за други цели, исклучете го опсегот на адреси на базата на податоци од тунелот за сообраќајот никогаш да не влезе во споделениот излез. Ова е најчистата опција кога двете патеки навистина не треба да се сретнат, и не чини ништо освен правило за рутирање што можете да го документирате. Компромисот е што разделениот тунел воведува втора површина за политики: она што е исклучено од тунелот мора да биде намерно, а не несакан ефект од подмрежа што некој ја додал подоцна.

Престанува да работи во моментот кога базата на податоци живее во мрежата до која VPN треба да стигне, затоа проверете го тоа пред да се обврзете.

Опција два: сопствена крајна точка, сопствен излез

Извршувањето мала VPN крајна точка на VPS ви дава контрола врз излезната политика, и не е вклучен споделен базен. Ова е опцијата што вреди искрено да се спореди со комерцијалниот клиент: добивате предвидлива изворна адреса и губите глобалниот отпечаток и удобноста на давателот. За тим на кој му требаат порти за бази на податоци и пошта цел ден, компромисот обично оди во корист на поседување на крајната точка, бидејќи режимот на отказ станува ваша сопствена погрешна конфигурација, а не туѓа политика за злоупотреба.

Споредете ги двете по стабилноста на изворната адреса, по тоа кој може да го чита вашиот сообраќај и по тоа што се случува во денот кога давателот на крајната точка ќе го смени сопственото филтрирање.

Опција три: извадете го преносниот компјутер од патеката

Работа на CI, закажан контејнер или bastion хост во дозволената мрежа не зависат од состојбата на тунелот на човек. Стигнете до базата на податоци преку SSH тунел од хост што е веќе дозволен, и преносниот компјутер никогаш не зборува директно со портата. Ова е опцијата што се шири кога неколку луѓе удираат во исто ограничување, и таа е и онаа што го отстранува проблемот наместо да го заобиколува.

Бара повеќе работа однапред од правило за разделен тунел, и не му помага на тоа едно лице на кое сега му треба интерактивна сесија.

Зошто додавањето на адресата на давателот на списокот за дозвола е погрешна споредба

Додавањето на излезната адреса на давателот на списокот за дозвола на базата на податоци функционира, и исто така дава пристап на секој друг претплатник што ја дели таа адреса во тој момент. За реплика само за читање зад тесно доделен сметка на апликација, изложеноста може да биде поднослива за еден ден. За сè што е запишливо тоа не е компромис што вреди да се именува, а ротирачките излезни адреси го влошуваат: секоја промена на серверот го крши правилото, а одржувањето повикува широки CIDR записи што ја уништуваат целта на списокот за дозвола.

Посветени или статични адреси, таму каде што давателот ги продава, се единствената верзија на ова што се шири. Врзете го списокот за дозвола за адреса што е само ваша, или не го врзувајте воопшто.

Што и да изберете, запишете ја патеката и причината. Следното лице ќе налета на истата врска што се ресетира и ќе почне да ја обвинува апликацијата.