SQL fuq VPN: klijent dirett jew stazzjon tax-xogħol intern?

It-timijiet iridu SSMS fuq il-laptops tagħhom, u s-soluzzjoni mgħaġġla hija li l-port SQL jiġi ppubblikat fil-pool tal-VPN. It-tweġiba aktar bil-mod tistaqsi fejn għandu jaħdem il-proċess tal-klijent, għax aċċess dirett u stazzjon tax-xogħol intern jipproduċu indirizzi tas-sors, fiduċja tal-punt tat-tmiem u toroq tad-data differenti. L-ebda waħda mhija sigura awtomatikament, u s-sħubija fil-VPN waħedha ma tiddeċiedi xejn. Qabbel id-disinji qabel ma teżisti regola ta' permess.

Żewġ toroq, żewġ indirizzi tas-sors

Fl-aċċess dirett il-laptop iġorr il-konfigurazzjoni tal-klijent u jiftaħ huwa stess il-konnessjoni mad-database. F'stazzjon tax-xogħol remot il-laptop jiftaħ sessjoni tad-desktop, u l-istazzjon jagħmel il-konnessjoni SQL mill-indirizz tiegħu stess. Għalhekk id-database tara l-pool tal-VPN jew gateway tradott fl-ewwel disinn, u l-indirizz tal-istazzjon fit-tieni. Dan id-differenza jiddeċiedi liema regola tal-firewall u liema permess SQL japplikaw tassew.

Il-laptop għadu jikkontrolla s-sessjoni remota, għalhekk stazzjon tax-xogħol mhuwiex sostitut għall-awtentikazzjoni tal-utent jew għall-politika tas-sessjoni.

Iċċekkja x'jara tassew id-database

L-indirizz tas-sors huwa xi ħaġa li titkejjel, mhux li tiġi dedotta minn dijagramma. Aqrah min-naħa tas-server ta' konnessjoni attiva.

Test-NetConnection sql.example.com -Port 1433
sqlcmd -S tcp:sql.example.com,1433 -N -d appdb -Q "select SUSER_SNAME() as login_name, DB_NAME() as db"

It-test tal-konnettività juri li l-listener jaċċetta TCP minn dik in-netwerk, filwaqt li l-mistoqsija turi liema login u liema database waslet is-sessjoni. Biex tara l-indirizz li rreġistra s-server, staqsi sys.dm_exec_connections għas-sessjoni attwali, li jirritorna l-indirizz tal-klijent wara kwalunkwe traduzzjoni. Jekk dak il-valur huwa gateway u mhux il-laptop, regola tal-host għal kull utent ma tistax taħdem fuq il-magna tad-database. Ikteb il-valur osservat ħdejn id-disinn magħżul, għax konnessjonijiet mill-ġdid u bidliet fil-pool iċaqilquh.

Iftaħ il-listener u xejn aktar

Iftaħ biss is-servizz li teħtieġ id-deployment. Il-1433 magħruf huwa l-port tal-istanza default, mhux kostanti universali.

Get-NetTCPConnection -State Listen -LocalPort 1433

L-istanzi msemmija spiss jisimgħu fuq port dinamiku, b'SQL Server Browser iwieġeb għall-iskoperta fuq UDP 1434, u dik id-dipendenza hija espożizzjoni separata li trid tiġi ġġustifikata. L-irbit ta' port fiss għall-istanza jneħħi l-ħtieġa għal Browser u jagħmel ir-regoli tal-firewall stabbli. Żomm il-kontrolli tal-kriptaġġ u ċ-ċertifikati li l-klijent diġà jagħmel minflok ma titfihom biex jgħaddi test. Imbagħad agħti rwoli tad-database għall-ammont ta' xogħol minflok ma żżid il-grupp VPN kollu ma' rwol tas-server.

Ipprova t-triq permessa u dik miċħuda

Iftaħ sessjoni ġdida bħala utent ordinarju approvat, u kkonferma l-identità tas-server, id-database u l-operazzjoni meħtieġa. Imbagħad ikkonferma l-esklużjoni: sors jew kont barra mill-politika għandu jfalli fl-istess test. Għad-disinn tal-istazzjon tax-xogħol, ivverifika li l-laptop ma jistax jevita l-konfini billi jasal għad-database direttament. Għall-aċċess dirett, ivverifika li t-triq u r-regola tas-sors għadhom jgħoddu wara konnessjoni mill-ġdid.

Irreġistra fejn ħadem il-klijent, liema sors osservat id-database u liema regola ppermettietu. Dik hija l-evidenza li se titlob ir-reviżjoni li jmiss.