Adakah VPN komersial menyekat port 5432? Bandingkan pilihan anda

Aplikasi itu bercakap dengan pangkalan datanya dari pejabat setiap hari. Kemudian seseorang menghidupkan klien VPN komersial pada komputer riba yang sama, dan sambungan mula ditetapkan semula selepas jabat tangan. Tiada apa-apa dalam aplikasi berubah, terowong melaporkan dirinya sihat, dan firewall yang anda kawal tiada peraturan menyekat. Apa yang berubah ialah laluan keluar: pelayan penyedia ialah titik akhir dikongsi yang tinggi trafik, dan penyedia menapis port keluar untuk mengurangkan penyalahgunaan. Port pangkalan data dan penghantaran mel menerima sebahagian besar daripadanya, kerana port itulah yang menarik pengimbasan dan spam daripada kumpulan alamat tanpa nama.

Ujian lima minit yang memisahkan penapisan daripada segala-galanya

Dari mesin yang sama, uji satu port yang sepatutnya terbuka dan port yang gagal, pada hos yang sama, dengan terowong dihidupkan dan kemudian dimatikan. Gunakan arahan yang sama kedua-dua kali supaya satu-satunya pemboleh ubah ialah terowong:

Test-NetConnection db.example.com -Port 443
Test-NetConnection db.example.com -Port 5432
nc -vz -w3 db.example.com 5432

Empat hasil meliputi hampir setiap kes. Jika 443 berfungsi dan 5432 gagal hanya semasa terowong dihidupkan, anda sedang melihat penapisan port pada laluan keluar. Jika kedua-duanya gagal semasa terowong dihidupkan dan kedua-duanya berfungsi tanpanya, masalahnya ialah penghalaan atau DNS, bukan dasar port. Jika kedua-dua port bersambung tetapi aplikasi masih gagal, kesalahannya ialah pengesahan atau TLS, bukan kebolehcapaian. Dan jika hanya satu lokasi pelayan penyedia gagal, itu dasar setiap pelayan, jadi cuba lokasi lain sebelum menyentuh mana-mana konfigurasi.

Pilihan satu: terowong berpecah untuk subrangkaian pangkalan data

Jika komputer riba hanya memerlukan VPN komersial untuk tujuan lain, kecualikan julat alamat pangkalan data daripada terowong supaya trafik tidak pernah masuk ke pintu keluar yang dikongsi. Ini pilihan paling bersih apabila kedua-dua laluan benar-benar tidak perlu bertemu, dan ia tidak memerlukan apa-apa selain peraturan penghalaan yang boleh anda dokumentasikan. Perdagangannya ialah terowong berpecah memperkenalkan permukaan dasar kedua: apa yang dikecualikan daripada terowong mesti disengajakan, bukan kesan sampingan subrangkaian yang ditambah seseorang kemudian.

Ia berhenti berfungsi pada saat pangkalan data berada di dalam rangkaian yang sepatutnya dicapai oleh VPN, jadi semak itu sebelum komited.

Pilihan dua: titik akhir anda sendiri, keluar anda sendiri

Menjalankan titik akhir VPN kecil pada VPS meletakkan kawalan dasar keluar di tangan anda, dan tiada kumpulan dikongsi terlibat. Inilah pilihan yang wajar dibandingkan secara jujur dengan klien komersial: anda memperoleh alamat sumber yang boleh diramal dan kehilangan jejak global serta kemudahan penyedia. Bagi pasukan yang memerlukan port pangkalan data dan mel sepanjang hari, perdagangan biasanya memihak kepada pemilikan titik akhir, kerana mod kegagalan menjadi salah konfigurasi anda sendiri dan bukan dasar penyalahgunaan orang lain.

Bandingkan kedua-duanya dari segi kestabilan alamat sumber, siapa yang boleh membaca trafik anda, dan apa yang berlaku pada hari penyedia titik akhir menukar penapisannya sendiri.

Pilihan tiga: keluarkan komputer riba daripada laluan

Kerja CI, kontena berjadual, atau hos bastion di dalam rangkaian yang dibenarkan tidak bergantung pada keadaan terowong seseorang. Capai pangkalan data melalui terowong SSH dari hos yang sudah dibenarkan, dan komputer riba tidak pernah bercakap terus dengan port. Inilah pilihan yang berskala apabila beberapa orang menemui kekangan yang sama, dan ia juga yang menghapuskan masalah itu dan bukannya mengelilinginya.

Ia memerlukan lebih banyak kerja awal daripada peraturan terowong berpecah, dan ia tidak membantu satu orang yang memerlukan sesi interaktif sekarang.

Mengapa menambah alamat penyedia ke senarai benaran ialah perbandingan yang salah

Menambah alamat keluar penyedia ke senarai benaran pangkalan data memang berkesan, dan ia juga memberi akses kepada setiap pelanggan lain yang berkongsi alamat itu pada saat itu. Bagi replika baca sahaja di belakang akaun aplikasi yang diberi secara sempit, pendedahannya mungkin boleh diterima untuk sehari. Bagi apa-apa yang boleh ditulis, ia bukan perdagangan yang wajar dinamakan, dan alamat keluar berputar memburukkannya: setiap perubahan pelayan memecahkan peraturan, dan penyelenggaraan mengundang entri CIDR luas yang menggagalkan tujuan senarai benaran.

Alamat khusus atau statik, di tempat penyedia menjualnya, ialah satu-satunya versi ini yang berskala. Ikat senarai benaran kepada alamat yang hanya milik anda, atau jangan ikat langsung.

Apa pun yang anda pilih, tuliskan laluan dan sebabnya. Orang seterusnya akan menemui sambungan yang ditetapkan semula yang sama dan akan mula menyalahkan aplikasi.