Орон нутгийн мэдээллийн сангийн клиент ба хувийн RDS: холболт яагаад хугацаа хэтэрдэг вэ

Хөгжүүлэгчийн зөөврийн компьютер хувийн RDS төгсгөлийн цэгт холбогдох үед хугацаа хэтэрдэг бол ижил нэвтрэх мэдээлэл бастион хостоос ажилладаг. Юу ч унасангүй. Тэр зөөврийн компьютер ба мэдээллийн сан хоорондын замд гурвын нэг нь дутагдаж байна: шийдэгддэг нэр, трафикийг зөөдөг чиглэл, эсвэл мэдээллийн сангийн бодитоор харж буй эх сурвалжийг зөвшөөрдөг аюулгүй байдлын бүлгийн дүрэм. Бусад хоёрыг өөрчлөхөөс өмнө алийг нь дутагдаж байгааг олж мэдээрэй.

Бүтэлгүйтлийг зөв давхаргад уншина уу

Хугацаа хэтрэх нь нэг алдаа биш. Шийдэгдэхгүй нэр пакет машинаас гарахаас өмнө бүтэлгүйтдэг. Чиглэлгүй хаяг пакетуудыг хар нүх рүү илгээдэг. Шүүгдсэн порт буруу хосттой яг адилхан харагдах хүлээлт үүсгэдэг. Алхмуудыг дарааллаар гүйцэтгэж, эхлээд бүтэлгүйтсэн алхамд зогсоорой.

dig +short db.internal.example
nc -vz db.internal.example 5432

Хэрэв нэр нийтийн хаяг буцаавал, эсвэл юу ч буцаахгүй бол туннель хараахан асуудал биш.

Хэрэв нэр шийдэгдэж, портын шалгалт дүүжлэгдвэл шийдсэн хаягийг мэдээллийн сан мэдээлж буй хаягтай харьцуулаарай. Удирдлагатай төгсгөлийн цэг VPC дотор хувийн хаяг руу, гадна нь ямар ч ашигтай зүйл рүү биш шийдэгдэж болох бөгөөд хуучин хайлтаас хуулсан хаяг хариу өгөхөө больсон хост руу заана.

Туннелийг чиглэлээс тусгаарла

Клиент VPN холбох нь хувийн бүх мужийг автоматаар чиглүүлдэггүй. Профайл үйлчилгээний түлхэж буй чиглэлүүдийг зөөдөг бөгөөд клиент тэдгээрийн зөвхөн заримыг суулгаж болно. Клиент яг ямар мужуудыг нэмсэн, мэдээллийн сангийн хаяг тэдгээрийн аль нэгэнд багтах эсэхийг хараарай.

ip route get 10.20.40.15
ip addr show tun0

Туннелийн интерфейс рүү заасан чиглэл шаардлагатай; гэхдээ хангалтгүй, учир нь нөгөө тал трафикийг хүлээн авах ёстой.

Хуваагдсан туннелийн профайлууд энэ хагас бүтэлгүйтлийн ердийн эх сурвалж. Тэд профайл зориулагдсан програмд ажилладаг бөгөөд мэдээллийн сангийн мужийг туннелийн гадна үлдээдэг нь галт хана үүсгэхтэй яг ижил хугацаа хэтрэлтийг үүсгэдэг.

Аюулгүй байдлын бүлгийг бодит эх сурвалжид тааруул

RDS аюулгүй байдлын бүлэг хүмүүсийг биш, эх сурвалжийг зөвшөөрдөг. Архитектураас хамааран эх сурвалж нь VPN клиентийн пул, бастионы хувийн хаяг, эсвэл трафик хөрвүүлэгддэг NAT хаяг байж болно. Дүрэм болон пакетийн бодит эх сурвалжийг хамт уншина уу.

aws ec2 describe-security-groups --group-ids sg-0123456789abcdef0 \
  --query 'SecurityGroups[].IpPermissions'

Нэг зөөврийн компьютерийн гэрийн хаягийн дүрэм нь нэвтрэх эрхийн загвар биш, засвар үйлчилгээний асуудал.

Замд клиент VPN эсвэл NAT гарц байвал, мэдээллийн сан хөгжүүлэгчийн туннелийн хаягийн оронд хөрвүүлэгчийн хаягийг харж болно. Тиймээс ажиллаж буй бастионы тохиргооноос хуулсан дүрэм зөөврийн компьютерт бүтэлгүйтэж болно: хоёр зам өөр өөр эх сурвалжаас ирдэг хэдий ч хоёулаа дотоод мэт харагдана.

Өргөн замаас нарийн замыг илүүд үз

Нэг хөгжүүлэгчид нэг мэдээллийн сан хэрэгтэй үед сессэд суурилсан дамжуулалт бүрэн сүлжээний туннелийн оронд ажиллуулахад хямд байдаг. Орон нутгийн клиент дамжуулсан порт руу холбогдож, алсын бүрэлдэхүүн хэсэг мэдээллийн сангийн холболтыг сүлжээний дотроос үүсгэдэг.

ssh -N -L 5432:db.internal.example:5432 bastion.internal.example

Тэр загварт TLS шалгалтыг хөндөхгүй байлгаарай. Клиент хүлээж буй нэртэй серверийн гэрчилгээг харьцуулан шалгах ёстой; орон нутгийн дамжуулсан порт нь шалгалтыг унтраах шалтгаан биш бөгөөд унтраах нь барих нь үнэ цэнтэй таних асуудлыг яг л нуудаг.

Бүрэн туннель ба нарийн дамжуулалтын хоорондох сонголт нь аюулгүй байдлын театр биш, хамрах хүрээний тухай шийдвэр.

Ардаа давтагдахуйц зам үлдээ

Шийдсэн хаягийн оронд төгсгөлийн цэгийн нэрийг, аюулгүй байдлын бүлгийн зөвшөөрдөг эх сурвалжийн мужийг, хөгжүүлэгчийн ашигладаг мэдээллийн сангийн дүрийг баримтжуул. Эдгээр гурван баримт нь ирээдүйн ихэнх бүтэлгүйтлийг утсаар холбогдохгүйгээр тайлбарлана. Клиент профайлын хувилбарыг мөн нэмээрэй, учир нь профайлын өөрчлөлт хуучин зөөж байсан чиглэлийг устгаж болно.

Дараа нь сөрөг тохиолдлыг нэг удаа шалга: зөвшөөрөгдсөн эх сурвалжийн гаднах клиентээс татгалзах ёстой хэвээр.

Зөвхөн өөрөө тохируулсан хүнд л ажилладаг хувийн мэдээллийн сан бол хувийн хандалт биш; энэ нь дахин нээгдэхийг хүлээж буй баримтжуулаагүй үл хамаарах зүйл юм. Замыг бичиж үлдээгээрэй, дараагийн хөгжүүлэгч нууцын оронд арга барилыг өвлөнө.