Alamat mana yang dilihat oleh firewall awan selepas VPN anda dihidupkan
Terowong penuh menukar alamat sumber yang dilihat oleh pangkalan data anda. Alihkan senarai benaran, laluan peribadi atau terowong terbelah, bukan kelayakan.
Pangkalan data yang berfungsi sebelum VPN disambung dan gagal selepas itu jarang menjadi masalah kelayakan. Firewall awan memadankan alamat sumber, dan terowong penuh menggantikan yang sedang mereka padankan. Jurang antara apa yang anda fikirkan dihantar oleh komputer riba anda dan apa yang diterima oleh pelayan ialah keseluruhan pepijat, dan ia boleh diukur dalam satu langkah.
Apa yang menjadi alamat sumber
Dalam terowong penuh, setiap paket keluar melalui get laluan VPN, jadi pelayan melihat alamat keluar get laluan dan bukan sambungan rumah anda. Jika ada proksi hadapan di laluan, alamatnya yang tiba. Kedua-duanya sumber sah, dan tidak satu pun ialah alamat dalam peraturan asal anda.
Peraturan firewall Azure SQL pada peringkat pelayan dan peringkat pangkalan data memadankan alamat klien yang sampai ke pelayan logik, yang selepas terowong penuh ialah alamat keluar. Kumpulan keselamatan AWS yang membenarkan satu alamat berkelakuan sama. Paket digugurkan sebelum pengesahan, jadi ralat yang anda terima kelihatan seperti kegagalan rangkaian dan bukan masalah kebenaran. Itulah sebabnya orang mula menetapkan semula kata laluan.
Di mana senarai benaran diputuskan
Baca peraturan yang sepadan dengan laluan yang gagal, bukan peraturan yang anda ingat telah anda cipta. Perhatikan skopnya, portnya, protokolnya dan sama ada ia dinilai sebelum sebarang pemeriksaan identiti.
Kemudian tentukan lapisan mana yang sah memiliki keputusan itu. Peraturan alamat menjawab dari mana trafik datang. Titik akhir peribadi menjawab sama ada perkhidmatan boleh dicapai melalui laluan peribadi sama sekali. Pengecualian terowong terbelah menjawab destinasi mana yang memintas terowong. Ia tidak boleh ditukar ganti, dan setiap satu gagal secara berbeza apabila terowong berubah.
Tiga pembaikan, tiga lapisan
Setiap pilihan di bawah membaiki aliran atas sebab yang berbeza, dan memilih yang salah menghasilkan sambungan yang berfungsi sehingga perubahan get laluan seterusnya.
| Repair | Layer it changes | What it does not fix |
|---|---|---|
| Add the egress address to the rule | Source address matching | Nothing about routing, and it breaks when the egress moves |
| Use a private endpoint | Whether the service is reached privately | A client that still resolves the public name |
| Add a split-tunnel exception | Which flows bypass the tunnel | An expired credential or a wrong password |
Menambah alamat keluar ialah perubahan terkecil dan paling rapuh, kerana get laluan baharu atau wilayah berbeza membatalkannya secara senyap. Dokumenkan alamat itu di sebelah takrif terowong supaya kedua-duanya bergerak bersama. Julat lebar sementara ialah diagnostik, bukan pembaikan; membiarkannya di tempatnya ialah cara perkhidmatan dalaman akhirnya terdedah.
Mengapa platform terurus tidak boleh menyertai terowong
Platform aplikasi seperti Heroku, AppHarbor atau CloudBees menjalankan kod anda dalam persekitaran tanpa peranti tun atau tap dan tanpa keistimewaan untuk menciptanya. Model masuk mereka ialah HTTP dan bukan soket mendengar sewenang-wenangnya. Buildpack yang membawa binari VPN masih tidak mempunyai tempat untuk meletakkan antara muka. Corak yang boleh dilaksanakan ialah alamat keluar statik yang boleh dibenarkan oleh pangkalan data, produk sambungan peribadi yang ditawarkan oleh platform, atau proksi dalam DMZ yang dicapai melalui HTTPS.
Proksi itu ialah laluan akses dengan pengesahan dan pengelogan tersendiri. Ia tidak menjadikan platform sebagai ahli VPN anda, dan menerangkannya begitu menghasilkan peraturan yang tiada siapa boleh mengaudit.
Sahkan daripada klien yang gagal
Sambung semula dan ulangi laluan tepat klien. Periksa alamat sumber yang direkodkan oleh perkhidmatan, laluan yang dipilih klien untuk nama pangkalan data, dan hasil pertanyaan sebenar, dalam susunan itu. Ujian dari get laluan membuktikan get laluan berfungsi, yang tidak pernah diragui. Jika sambungan kini disahkan dan pertanyaan masih gagal, masalah yang tinggal ialah kebenaran pangkalan data.
Semak peraturan ini setiap kali terowong berubah. Get laluan yang diganti atau julat keluar baharu memutuskan laluan tanpa sebarang perubahan pada konfigurasi aplikasi.