Liema indirizz jara firewall tal-cloud meta l-VPN tiegħek tkun mixgħula
Tunnel sħiħ ibiddel l-indirizz tas-sors li tara l-bażi tad-data tiegħek. Mexxi l-lista tal-permessi, il-mogħdija privata jew it-tunnel maqsum, mhux il-kredenzjali.
Bażi tad-data li taħdem qabel ma jikkonnettja l-VPN u tfalli wara rari tkun problema ta’ kredenzjali. Il-firewalls tal-cloud iqabblu l-indirizzi tas-sors, u tunnel sħiħ jissostitwixxi dak li kienu qed iqabblu. Id-differenza bejn dak li taħseb li qed jibgħat il-laptop tiegħek u dak li jirċievi s-server hija l-bug kollu, u tista’ titkejjel f’pass wieħed.
F’xiex isir l-indirizz tas-sors
Fi tunnel sħiħ, kull pakkett joħroġ mill-gateway tal-VPN, għalhekk is-server jara l-indirizz tal-ħruġ tal-gateway u mhux il-konnessjoni tad-dar tiegħek. Jekk ikun hemm proxy li jgħaddi ’l quddiem fil-mogħdija, ikun l-indirizz tiegħu li jasal. It-tnejn huma sorsi leġittimi, u ebda wieħed mhu l-indirizz fir-regola oriġinali tiegħek.
Ir-regoli tal-firewall ta’ Azure SQL fil-livell tas-server u tal-bażi tad-data iqabblu l-indirizz tal-klijent li jasal għas-server loġiku, li wara tunnel sħiħ ikun l-indirizz tal-ħruġ. Grupp tas-sigurtà tal-AWS li jippermetti indirizz wieħed iġib ruħu bl-istess mod. Il-pakkett jintrema qabel l-awtentikazzjoni, għalhekk l-iżball li tirċievi lura jidher bħal falliment tan-netwerk u mhux bħala problema ta’ permessi. Huwa eżattament għalhekk li n-nies jibdew jirrisettjaw il-passwords.
Fejn tiġi deċiża l-lista tal-permessi
Aqra r-regola li taqbel mal-mogħdija li qed tfalli, mhux ir-regola li tiftakar li ħloqt. Innota l-ambitu tagħha, il-port tagħha, il-protokoll tagħha u jekk tiġix evalwata qabel xi verifika tal-identità.
Imbagħad iddeċiedi liema saff għandu legalment din id-deċiżjoni. Regola tal-indirizz twieġeb minn fejn ġej it-traffiku. Punt tat-tmiem privat iwieġeb jekk is-servizz huwiex aċċessibbli permezz ta’ mogħdija privata xejn. Eċċezzjoni tat-tunnel maqsum twieġeb liema destinazzjonijiet jaqbżu t-tunnel. Mhumiex jistgħu jiġu skambjati, u kull waħda tfalli b’mod differenti meta t-tunnel jinbidel.
Tliet tiswijiet, tliet saffi
Kull għażla hawn taħt issewwi l-fluss għal raġuni differenti, u l-għażla żbaljata tagħti konnessjoni li taħdem sal-bidla li jmiss tal-gateway.
| Repair | Layer it changes | What it does not fix |
|---|---|---|
| Add the egress address to the rule | Source address matching | Nothing about routing, and it breaks when the egress moves |
| Use a private endpoint | Whether the service is reached privately | A client that still resolves the public name |
| Add a split-tunnel exception | Which flows bypass the tunnel | An expired credential or a wrong password |
Iż-żieda tal-indirizz tal-ħruġ hija l-iżgħar bidla u l-aktar fraġli, għax gateway ġdid jew reġjun differenti jinvallidawha bil-kwiet. Iddokumenta l-indirizz ħdejn id-definizzjoni tat-tunnel biex it-tnejn jimxu flimkien. Firxa wiesgħa temporanja hija dijanjożi, mhux tiswija; li tħalliha fil-post hija l-mod kif is-servizzi interni jispiċċaw esposti.
Għaliex pjattaforma ġestita ma tistax tingħaqad mat-tunnel
Pjattaformi tal-applikazzjonijiet bħal Heroku, AppHarbor jew CloudBees iħaddmu l-kodiċi tiegħek f’ambjent mingħajr apparat tun jew tap u mingħajr privileġġi biex joħolqu wieħed. Il-mudell tad-dħul tagħhom huwa HTTP u mhux socket li jisma’ arbitrarju. Buildpack li jġib binariu tal-VPN xorta waħda m’għandux fejn ipoġġi l-interface. Il-mudelli li jaħdmu huma indirizz tal-ħruġ statiku li l-bażi tad-data tista’ tippermetti, prodott ta’ konnessjoni privata li toffri l-pjattaforma, jew proxy f’DMZ li jintlaħaq permezz tal-HTTPS.
Dak il-proxy huwa mogħdija ta’ aċċess bl-awtentikazzjoni u r-reġistrazzjoni tiegħu stess. Ma jagħmilx il-pjattaforma membru tal-VPN tiegħek, u li tiddeskriviha hekk toħloq regoli li ħadd ma jista’ jawdita.
Ivverifika mill-klijent li fallew
Erġa’ qabbad u erġa’ agħmel il-mogħdija eżatta tal-klijent. Iċċekkja l-indirizz tas-sors li jirreġistra s-servizz, ir-rotta li l-klijent jagħżel għall-isem tal-bażi tad-data, u r-riżultat tal-mistoqsija attwali, f’dak l-ordni. Test mill-gateway jipprova li l-gateway jaħdem, li qatt ma kien dubju. Jekk il-konnessjoni issa tiġi awtentikata u l-mistoqsija għadha tfalli, il-problema li fadal hija l-permess tal-bażi tad-data.
Irrevedi dawn ir-regoli kull darba li t-tunnel jinbidel. Gateway sostitwit jew firxa tal-ħruġ ġdida tkisser il-mogħdija mingħajr ebda bidla fil-konfigurazzjoni tal-applikazzjoni.