ലോക്കൽ ഡാറ്റാബേസ് ക്ലയന്റും സ്വകാര്യ RDS-ഉം: കണക്ഷൻ എന്തുകൊണ്ട് സമയം കവിയുന്നു

ഒരു ഡെവലപ്പറുടെ ലാപ്ടോപ്പ് സ്വകാര്യ RDS എൻഡ്പോയിന്റിലേക്ക് കണക്ട് ചെയ്യുമ്പോൾ സമയം കവിയുന്നു, എന്നാൽ അതേ ക്രെഡൻഷ്യലുകൾ ഒരു ബാസ്റ്റ്യൻ ഹോസ്റ്റിൽ നിന്ന് പ്രവർത്തിക്കുന്നു. ഒന്നും തകർന്നിട്ടില്ല. ആ ലാപ്ടോപ്പും ഡാറ്റാബേസും തമ്മിലുള്ള വഴിയിൽ മൂന്നിൽ ഒന്ന് കുറവാണ്: പരിഹരിക്കുന്ന ഒരു പേര്, ട്രാഫിക് വഹിക്കുന്ന ഒരു റൂട്ട്, അല്ലെങ്കിൽ ഡാറ്റാബേസ് യഥാർത്ഥത്തിൽ കാണുന്ന ഉറവിടത്തെ അനുവദിക്കുന്ന സെക്യൂരിറ്റി ഗ്രൂപ്പ് നിയമം. മറ്റ് രണ്ടെണ്ണം മാറ്റുന്നതിന് മുൻപ് ഏതാണ് കുറവെന്ന് കണ്ടെത്തുക.

ശരിയായ പാളിയിൽ പരാജയം വായിക്കുക

സമയം കവിയുന്നത് ഒരു പിശകല്ല. പരിഹരിക്കാത്ത പേര് പാക്കറ്റ് യന്ത്രം വിടുന്നതിന് മുൻപ് പരാജയപ്പെടുന്നു. വഴിയില്ലാത്ത വിലാസം പാക്കറ്റുകളെ കറുത്ത കുഴിയിലേക്ക് അയക്കുന്നു. ഫിൽട്ടർ ചെയ്ത പോർട്ട് തെറ്റായ ഹോസ്റ്റിനോട് കൃത്യമായി സാമ്യമുള്ള കാത്തിരിപ്പ് സൃഷ്ടിക്കുന്നു. ഘട്ടങ്ങൾ ക്രമത്തിൽ പ്രവർത്തിപ്പിച്ച് ആദ്യം പരാജയപ്പെടുന്ന ഘട്ടത്തിൽ നിർത്തുക.

dig +short db.internal.example
nc -vz db.internal.example 5432

പേര് പൊതു വിലാസം നൽകിയാൽ, അല്ലെങ്കിൽ ഒന്നും നൽകിയില്ലെങ്കിൽ, ടണൽ ഇപ്പോഴും പ്രശ്നമല്ല.

പേര് പരിഹരിക്കുകയും പോർട്ട് പരിശോധന തൂങ്ങുകയും ചെയ്താൽ, നിങ്ങൾ പരിഹരിച്ച വിലാസം ഡാറ്റാബേസ് റിപ്പോർട്ട് ചെയ്യുന്ന വിലാസവുമായി താരതമ്യം ചെയ്യുക. മാനേജ്ഡ് എൻഡ്പോയിന്റ് VPC-യ്ക്കുള്ളിൽ സ്വകാര്യ വിലാസത്തിലേക്കും പുറത്ത് ഉപയോഗപ്രദമായ ഒന്നിലേക്കുമല്ലാതെയും പരിഹരിച്ചേക്കാം, പഴയ തിരച്ചിലിൽ നിന്ന് പകർത്തിയ വിലാസം ഇനി മറുപടി നൽകാത്ത ഹോസ്റ്റിലേക്ക് ചൂണ്ടും.

ടണലിനെ റൂട്ടിൽ നിന്ന് വേർതിരിക്കുക

ക്ലയന്റ് VPN ബന്ധിപ്പിക്കുന്നത് എല്ലാ സ്വകാര്യ ശ്രേണിയും സ്വയമേവ റൂട്ട് ചെയ്യുന്നില്ല. പ്രൊഫൈൽ സേവനം തള്ളുന്ന റൂട്ടുകൾ വഹിക്കുന്നു, ക്ലയന്റ് അവയിൽ ചിലത് മാത്രം ഇൻസ്റ്റാൾ ചെയ്തേക്കാം. ക്ലയന്റ് യഥാർത്ഥത്തിൽ ഏത് ശ്രേണികൾ ചേർത്തുവെന്നും ഡാറ്റാബേസ് വിലാസം അവയിലൊന്നിൽ വരുന്നുണ്ടോയെന്നും നോക്കുക.

ip route get 10.20.40.15
ip addr show tun0

ടണൽ ഇന്റർഫേസിലേക്ക് ചൂണ്ടുന്ന റൂട്ട് ആവശ്യമാണ്; അത് പര്യാപ്തമല്ല, കാരണം എതിർവശം ഇപ്പോഴും ട്രാഫിക് സ്വീകരിക്കണം.

സ്പ്ലിറ്റ്-ടണൽ പ്രൊഫൈലുകൾ ഈ പകുതി പരാജയത്തിന്റെ സാധാരണ ഉറവിടമാണ്. പ്രൊഫൈൽ രൂപകൽപ്പന ചെയ്ത ആപ്ലിക്കേഷനിൽ അവ പ്രവർത്തിക്കുന്നു, ഡാറ്റാബേസ് ശ്രേണിയെ ടണലിന് പുറത്ത് വിടുന്നു, ഇത് ഫയർവാൾ സൃഷ്ടിക്കുന്ന അതേ സമയ കവിയുന്ന സൃഷ്ടിക്കുന്നു.

സെക്യൂരിറ്റി ഗ്രൂപ്പിനെ യഥാർത്ഥ ഉറവിടവുമായി ഒത്തുചേർക്കുക

RDS സെക്യൂരിറ്റി ഗ്രൂപ്പ് ആളുകളെയല്ല, ഉറവിടങ്ങളെ അനുവദിക്കുന്നു. ആർക്കിടെക്ചർ അനുസരിച്ച് ഉറവിടം VPN ക്ലയന്റ് പൂൾ, ബാസ്റ്റ്യന്റെ സ്വകാര്യ വിലാസം, അല്ലെങ്കിൽ ട്രാഫിക് വിവർത്തനം ചെയ്യുന്ന NAT വിലാസം ആകാം. നിയമവും പാക്കറ്റിന്റെ യഥാർത്ഥ ഉറവിടവും ഒരുമിച്ച് വായിക്കുക.

aws ec2 describe-security-groups --group-ids sg-0123456789abcdef0 \
  --query 'SecurityGroups[].IpPermissions'

ഒരു ലാപ്ടോപ്പിന്റെ വീട്ടുവിലാസത്തിനുള്ള നിയമം ആക്സസ് ഡിസൈനല്ല, അറ്റകുറ്റപ്പണിയുടെ പ്രശ്നമാണ്.

വഴിയിൽ ക്ലയന്റ് VPN അല്ലെങ്കിൽ NAT ഗേറ്റ്വേ ഉണ്ടെങ്കിൽ, ഡെവലപ്പറുടെ ടണൽ വിലാസത്തിന് പകരം ഡാറ്റാബേസ് വിവർത്തകന്റെ വിലാസം കാണാം. അതുകൊണ്ടാണ് പ്രവർത്തിക്കുന്ന ബാസ്റ്റ്യൻ ക്രമീകരണത്തിൽ നിന്ന് പകർത്തിയ നിയമം ലാപ്ടോപ്പിൽ പരാജയപ്പെടാം: രണ്ട് വഴികളും വ്യത്യസ്ത ഉറവിടങ്ങളിൽ നിന്ന് വരുന്നു, രണ്ടും ആന്തരികമായി തോന്നുന്നുവെങ്കിലും.

വീതിയുള്ള വഴിയേക്കാൾ ഇടുങ്ങിയ വഴി തിരഞ്ഞെടുക്കുക

ഒരു ഡെവലപ്പർക്ക് ഒരു ഡാറ്റാബേസ് വേണ്ടിവരുമ്പോൾ, സെഷൻ അടിസ്ഥാനമാക്കിയ ഫോർവേഡിംഗ് പൂർണ്ണ നെറ്റ്വർക്ക് ടണലിനേക്കാൾ പ്രവർത്തിപ്പിക്കാൻ വിലകുറഞ്ഞതാണ്. ലോക്കൽ ക്ലയന്റ് ഫോർവേഡ് ചെയ്ത പോർട്ടിലേക്ക് കണക്ട് ചെയ്യുന്നു, ദൂരെയുള്ള ഘടകം നെറ്റ്വർക്കിനുള്ളിൽ നിന്ന് ഡാറ്റാബേസ് കണക്ഷൻ ഉണ്ടാക്കുന്നു.

ssh -N -L 5432:db.internal.example:5432 bastion.internal.example

ആ രൂപകൽപ്പനയിൽ TLS പരിശോധന അതേപടി നിലനിർത്തുക. ക്ലയന്റ് പ്രതീക്ഷിക്കുന്ന പേരിനെതിരെ സെർവർ സർട്ടിഫിക്കറ്റ് ഇപ്പോഴും സാധൂകരിക്കണം; ലോക്കൽ ഫോർവേഡ് ചെയ്ത പോർട്ട് പരിശോധന ഓഫാക്കാനുള്ള കാരണമല്ല, അത് ഓഫാക്കുന്നത് പിടിക്കാൻ യോഗ്യമായ ഐഡന്റിറ്റി പ്രശ്നം തന്നെ മറയ്ക്കുന്നു.

പൂർണ്ണ ടണലും ഇടുങ്ങിയ ഫോർവേഡിംഗും തമ്മിലുള്ള തിരഞ്ഞെടുപ്പ് സുരക്ഷാ നാടകമല്ല, പരിധിയെക്കുറിച്ചുള്ള തീരുമാനമാണ്.

പിന്നിൽ ആവർത്തിക്കാവുന്ന ഒരു വഴി വിടുക

പരിഹരിച്ച വിലാസത്തിന് പകരം എൻഡ്പോയിന്റ് പേര്, സെക്യൂരിറ്റി ഗ്രൂപ്പ് അനുവദിക്കുന്ന ഉറവിട ശ്രേണി, ഡെവലപ്പർ ഉപയോഗിക്കുന്ന ഡാറ്റാബേസ് റോൾ എന്നിവ രേഖപ്പെടുത്തുക. ഈ മൂന്ന് വസ്തുതകൾ ഭാവിയിലെ മിക്ക പരാജയങ്ങളും ഫോൺ വിളിയില്ലാതെ വിശദീകരിക്കുന്നു. ക്ലയന്റ് പ്രൊഫൈലിന്റെ പതിപ്പും ചേർക്കുക, കാരണം പ്രൊഫൈൽ മാറ്റം പഴയത് വഹിച്ചിരുന്ന ഒരു റൂട്ട് നീക്കം ചെയ്തേക്കാം.

പിന്നീട് നെഗറ്റീവ് കേസ് ഒരിക്കൽ പരിശോധിക്കുക: അംഗീകൃത ഉറവിടത്തിന് പുറത്തുള്ള ക്ലയന്റ് ഇപ്പോഴും നിരസിക്കപ്പെടണം.

സ്വയം ക്രമീകരിച്ച വ്യക്തിക്ക് മാത്രം പ്രവർത്തിക്കുന്ന സ്വകാര്യ ഡാറ്റാബേസ് സ്വകാര്യ ആക്സസല്ല; അത് വീണ്ടും കണ്ടെത്തപ്പെടാൻ കാത്തിരിക്കുന്ന രേഖപ്പെടുത്താത്ത ഒരു അപവാദമാണ്. വഴി എഴുതിവെക്കുക, അപ്പോൾ അടുത്ത ഡെവലപ്പർക്ക് ദുരൂഹതയ്ക്ക് പകരം ഒരു രീതി പിന്തുടരാൻ കഴിയും.