Која адреса ја гледа облачен firewall кога вашиот VPN е вклучен
Целосниот тунел ја менува изворната адреса што ја гледа вашата база на податоци. Преместете ја листата на дозволи, приватната патека или поделениот тунел, не пристапните податоци.
База на податоци што работи пред да се поврзе VPN и откажува потоа ретко е проблем со пристапни податоци. Облачните firewall-и ги споредуваат изворните адреси, а целосниот тунел ја заменува токму таа што ја споредувале. Разликата меѓу она што мислите дека го испраќа вашиот лаптоп и она што го прима серверот е целата грешка и може да се измери во еден чекор.
Во што станува изворната адреса
Во целосен тунел секој пакет излегува преку VPN портата, па серверот ја гледа излезната адреса на портата наместо вашата домашна врска. Ако на патеката има напреден прокси, пристигнува неговата адреса. Двете се легитимни извори и ниту една не е адресата во вашето првично правило.
Правилата на firewall-от на Azure SQL на ниво на сервер и на ниво на база на податоци ја споредуваат адресата на клиентот што стигнува до логичкиот сервер, а по целосен тунел тоа е излезната адреса. Безбедносната група на AWS што дозволува една адреса се однесува исто. Пакетот се отфрла пред автентикација, па грешката што ја добивате изгледа како мрежен дефект, а не како проблем со дозволи. Токму затоа луѓето почнуваат да ги ресетираат лозинките.
Каде се одлучува листата на дозволи
Прочитајте го правилото што одговара на патеката што откажува, а не правилото што се сеќавате дека сте го создале. Забележете го неговиот опфат, портата, протоколот и дали се проценува пред каква било проверка на идентитетот.
Потоа одлучете кој слој легитимно ја поседува таа одлука. Правилото за адреса одговара од каде доаѓа сообраќајот. Приватната крајна точка одговара дали услугата е достапна преку приватна патека воопшто. Исклучокот за поделен тунел одговара кои одредишта го заобиколуваат тунелот. Тие не се заменливи и секое откажува поинаку кога тунелот се менува.
Три поправки, три слоја
Секоја опција подолу го поправа текот од друга причина, а погрешниот избор дава врска што работи до следната промена на портата.
| Repair | Layer it changes | What it does not fix |
|---|---|---|
| Add the egress address to the rule | Source address matching | Nothing about routing, and it breaks when the egress moves |
| Use a private endpoint | Whether the service is reached privately | A client that still resolves the public name |
| Add a split-tunnel exception | Which flows bypass the tunnel | An expired credential or a wrong password |
Додавањето на излезната адреса е најмалата промена и најкршливата, бидејќи нова порта или друг регион тивко ја поништува. Документирајте ја адресата до дефиницијата на тунелот за двете да се движат заедно. Привремен опсег е дијагностика, а не поправка; неговото оставање на место е начинот на кој внатрешните услуги завршуваат изложени.
Зошто управувана платформа не може да се приклучи на тунелот
Апликациските платформи како Heroku, AppHarbor или CloudBees го извршуваат вашиот код во опкружување без уред tun или tap и без привилегии да создадат еден. Нивниот влезен модел е HTTP, а не произволен сокет што слуша. Градежниот пакет што доставува VPN бинарна датотека и понатаму нема каде да го стави интерфејсот. Работните обрасци се статична излезна адреса што базата на податоци може да ја дозволи, производ за приватна врска што го нуди платформата или прокси во DMZ достапно преку HTTPS.
Тоа прокси е патека за пристап со сопствена автентикација и евиденција. Тоа не ја прави платформата член на вашиот VPN, а таквиот опис создава правила што никој не може да ги ревидира.
Проверете од клиентот што откажал
Поврзете се повторно и повторете ја точната патека на клиентот. Проверете ја изворната адреса што услугата ја запишува, рутата што клиентот ја избира за името на базата на податоци и резултатот од вистинското барање, по тој редослед. Тестот од портата докажува дека портата работи, што никогаш не било сомнеж. Ако врската сега се автентицира, а барањето и понатаму откажува, преостанатиот проблем е дозволата во базата на податоци.
Прегледајте ги овие правила секогаш кога тунелот се менува. Заменета порта или нов опсег за излез ја крши патеката без никаква промена во конфигурацијата на апликацијата.