Klijent lokali tal-bażi tad-dejta u RDS privat: għaliex il-konnessjoni taqbeż il-ħin

Il-laptop ta’ żviluppatur jaqbeż il-ħin meta jgħaqqad mal-endpoint privat RDS, filwaqt li l-istess kredenzjali jaħdmu minn host bastion. Xejn mhu nieżel. Il-passaġġ bejn dak il-laptop u l-bażi tad-dejta jonqsu waħda minn tliet affarijiet: isem li jiġi riżolt, rotta li ġġorr it-traffiku, jew regola fil-grupp tas-sigurtà li tammetti s-sors li l-bażi tad-dejta tassew tara. Skopri liema hija nieqsa qabel ma tbiddel it-tnejn l-oħra.

Aqra l-falliment fil-livell tajjeb

Qbiż tal-ħin mhuwiex żball wieħed. Isem li ma jiġix riżolt ifalli qabel ma pakkett joħroġ mill-magna. Indirizz mingħajr rotta jibgħat pakketti f’toqba sewda. Port iffiltrat iġib stennija li tidher eżattament bħal host ħażin. Esegwi l-passi fl-ordni u waqaf fl-ewwel wieħed li jfalli.

dig +short db.internal.example
nc -vz db.internal.example 5432

Jekk l-isem jirritorna indirizz pubbliku, jew ma jirritorna xejn, it-tunnel għadu mhux il-problema.

Jekk l-isem jiġi riżolt u t-test tal-port jiddendel, qabbel l-indirizz li riżolvajt mal-indirizz li tirrapporta l-bażi tad-dejta. Endpoint amministrat jista’ jiġi riżolt għal indirizz privat ġewwa l-VPC u għal xejn utli barra minnu, u indirizz ikkupjat minn tfittxija qadima se jindika host li ma jibqax iwieġeb.

Issepara t-tunnel mir-rotta

Li tqabbad VPN tal-klijent ma jgħaddix awtomatikament kull firxa privata. Il-profil iġorr ir-rotot li s-servizz jimbutta, u l-klijent jista’ jinstalla biss uħud minnhom. Ara liema firxiet il-klijent verament żied u jekk l-indirizz tal-bażi tad-dejta jaqax f’waħda minnhom.

ip route get 10.20.40.15
ip addr show tun0

Rotta li tindika lejn l-interface tat-tunnel hija meħtieġa; mhijiex biżżejjed, għax in-naħa l-oħra xorta trid taċċetta t-traffiku.

Profili ta’ tunnel maqsum huma s-sors tas-soltu ta’ dan il-falliment nofsu. Jaħdmu għall-applikazzjoni li għaliha kien iddisinjat il-profil u jħallu l-firxa tal-bażi tad-dejta barra mit-tunnel, li jipproduċi eżattament il-qbiż tal-ħin li kien jipproduċi firewall.

Qabbel il-grupp tas-sigurtà mas-sors reali

Il-grupp tas-sigurtà RDS jammetti sorsi, mhux persuni. Skont l-arkitettura, is-sors jista’ jkun il-pool tal-klijenti VPN, l-indirizz privat ta’ bastion, jew indirizz NAT li lejh jiġi tradott it-traffiku. Aqra r-regola u s-sors reali tal-pakkett flimkien.

aws ec2 describe-security-groups --group-ids sg-0123456789abcdef0 \
  --query 'SecurityGroups[].IpPermissions'

Regola għall-indirizz tad-dar ta’ laptop wieħed hija problema ta’ manutenzjoni, mhux disinn ta’ aċċess.

Meta VPN tal-klijent jew gateway NAT ikun fil-passaġġ, il-bażi tad-dejta tista’ tara l-indirizz tat-traduttur minflok l-indirizz tat-tunnel tal-iżviluppatur. Għalhekk regola ikkupjata minn setup bastion li jaħdem tista’ tfalli għal laptop: iż-żewġ passaġġi jaslu minn sorsi differenti għalkemm it-tnejn jidhru interni.

Ippreferi passaġġ dejjaq minn wieħed wiesa’

Meta żviluppatur wieħed ikun jeħtieġ bażi tad-dejta waħda, il-fturwarding ibbażat fuq is-sessjoni spiss huwa irħas biex jiġi operat minn tunnel tan-netwerk sħiħ. Il-klijent lokali jgħaqqad ma’ port fturwardjat, u l-komponent mill-bogħod jagħmel il-konnessjoni tal-bażi tad-dejta minn ġewwa n-netwerk.

ssh -N -L 5432:db.internal.example:5432 bastion.internal.example

Żomm il-verifika TLS sħiħa f’dak id-disinn. Il-klijent xorta għandu jivvalida ċ-ċertifikat tas-server kontra l-isem li jistenna; port fturwardjat lokali mhuwiex raġuni biex titfi l-verifika, u li titfiha taħbi eżattament il-problema tal-identità li jistħoqqilha tinqabad.

L-għażla bejn tunnel sħiħ u fturwarding dejjaq hija deċiżjoni dwar l-ambitu, mhux dwar teatru tas-sigurtà.

Ħalli passaġġ li jista’ jiġi ripetut warajk

Iddokumenta l-isem tal-endpoint minflok indirizz riżolt, il-firxa tas-sors li tammetti l-grupp tas-sigurtà, u r-rwol tal-bażi tad-dejta li juża l-iżviluppatur. Dawn it-tliet fatti jispjegaw ħafna mill-fallimenti futuri mingħajr telefonata. Żid ukoll il-verżjoni tal-profil tal-klijent, għax bidla fil-profil tista’ tneħħi rotta li kien iġorr il-qadim.

Imbagħad ipprova l-każ negattiv darba: klijent barra s-sors approvat xorta għandu jiġi rrifjutat.

Bażi tad-dejta privata li taħdem biss għall-persuna li waqqfitha mhijiex aċċess privat; hija eċċezzjoni mhux iddokumentata li tistenna li terġa’ tiġi skoperta. Ikteb il-passaġġ, u l-iżviluppatur li jmiss jiret metodu minflok misteru.