VPN वर SQL: थेट क्लायंट की अंतर्गत वर्कस्टेशन?

संघांना त्यांच्या लॅपटॉपवर SSMS हवे आहे, आणि जलद उपाय म्हणजे SQL पोर्ट VPN पूलवर प्रकाशित करणे। संथ उत्तर विचारते की क्लायंट प्रक्रिया कुठे चालली पाहिजे, कारण थेट प्रवेश आणि अंतर्गत वर्कस्टेशन वेगळे स्रोत पत्ते, एंडपॉइंट विश्वास आणि डेटा मार्ग तयार करतात। यापैकी कोणतेही स्वयंचलितपणे सुरक्षित नाही, आणि केवळ VPN सदस्यत्व काहीही ठरवत नाही। परवानगी नियम अस्तित्वात येण्यापूर्वी रचनांची तुलना करा।

दोन मार्ग, दोन स्रोत पत्ते

थेट प्रवेशात लॅपटॉप क्लायंट संरचना बाळगतो आणि स्वतः डेटाबेस कनेक्शन उघडतो। दूरस्थ वर्कस्टेशनमध्ये लॅपटॉप डेस्कटॉप सत्र उघडतो, आणि वर्कस्टेशन स्वतःच्या पत्त्यावरून SQL कनेक्शन करते। त्यामुळे पहिल्या रचनेत डेटाबेस VPN पूल किंवा भाषांतरित गेटवे पाहतो, आणि दुसऱ्यात वर्कस्टेशनचा पत्ता पाहतो। हाच फरक ठरवतो की कोणता फायरवॉल नियम आणि कोणती SQL परवानगी प्रत्यक्षात लागू होते।

लॅपटॉप अजूनही दूरस्थ सत्र नियंत्रित करतो, म्हणून वर्कस्टेशन वापरकर्ता प्रमाणीकरण किंवा सत्र धोरणाचा पर्याय नाही।

डेटाबेस प्रत्यक्षात काय पाहतो ते तपासा

स्रोत पत्ता मोजण्याची गोष्ट आहे, आकृतीतून अनुमान काढण्याची नाही। तो सक्रिय कनेक्शनच्या सर्व्हर बाजूने वाचा।

Test-NetConnection sql.example.com -Port 1433
sqlcmd -S tcp:sql.example.com,1433 -N -d appdb -Q "select SUSER_SNAME() as login_name, DB_NAME() as db"

कनेक्टिव्हिटी चाचणी सिद्ध करते की श्रोता त्या नेटवर्कवरून TCP स्वीकारतो, तर क्वेरी सिद्ध करते की सत्र कोणत्या लॉगिन आणि डेटाबेसपर्यंत पोहोचले। सर्व्हरने नोंदवलेला पत्ता पाहण्यासाठी सध्याच्या सत्रासाठी sys.dm_exec_connections क्वेरी करा, जी कोणत्याही भाषांतरानंतर क्लायंट पत्ता परत देते। जर ते मूल्य लॅपटॉप नसून गेटवे असेल, तर प्रति-वापरकर्ता होस्ट नियम डेटाबेस मशीनवर काम करू शकत नाही। निरीक्षण केलेले मूल्य निवडलेल्या रचनेच्या शेजारी लिहा, कारण पुन्हा-कनेक्शन आणि पूल बदल ते हलवतात।

श्रोता उघडा आणि त्यापलीकडे काही नाही

तैनातीस आवश्यक असलेली सेवाच उघडा। परिचित 1433 डीफॉल्ट इन्स्टन्सचा पोर्ट आहे, सार्वत्रिक स्थिरांक नाही।

Get-NetTCPConnection -State Listen -LocalPort 1433

नामांकित इन्स्टन्स अनेकदा गतिमान पोर्टवर ऐकतात, SQL Server Browser UDP 1434 वर शोधला उत्तर देतो, आणि हे अवलंबित्व न्याय्य ठरवावे लागणारे स्वतंत्र एक्सपोजर आहे। इन्स्टन्ससाठी स्थिर पोर्ट पिन केल्यास Browser ची गरज संपते आणि फायरवॉल नियम स्थिर होतात। चाचणी पास होण्यासाठी क्लायंट आधीच करत असलेल्या एन्क्रिप्शन आणि प्रमाणपत्र तपासण्या बंद करण्याऐवजी टिकवून ठेवा। त्यानंतर संपूर्ण VPN गट सर्व्हर भूमिकेत जोडण्याऐवजी कार्यभारासाठी डेटाबेस भूमिका द्या।

परवानगी दिलेला मार्ग आणि नाकारलेला मार्ग सिद्ध करा

सामान्य मंजूर वापरकर्ता म्हणून नवीन सत्र उघडा आणि सर्व्हर ओळख, डेटाबेस आणि आवश्यक क्रियेची खात्री करा। नंतर वगळण्याची खात्री करा: धोरणाबाहेरील स्रोत किंवा खात्याने त्याच चाचणीत अपयशी व्हावे। वर्कस्टेशन रचनेसाठी, लॅपटॉप थेट डेटाबेसपर्यंत पोहोचून सीमा टाळू शकत नाही याची खात्री करा। थेट प्रवेशासाठी, पुन्हा-कनेक्शननंतरही मार्ग आणि स्रोत नियम टिकतात याची खात्री करा।

क्लायंट कुठे चालला, डेटाबेसने कोणता स्रोत पाहिला आणि कोणत्या नियमाने परवानगी दिली ते नोंदवा। पुढील पुनरावलोकन मागणारा हाच पुरावा आहे।