SQL over VPN: direkte klient eller intern arbeidsstasjon?

Team vil ha SSMS på de bærbare PC-ene sine, og den raske løsningen er å publisere SQL-porten til VPN-poolen. Det langsommere svaret spør hvor klientprosessen skal kjøre, fordi direkte tilgang og en intern arbeidsstasjon gir ulike kildeadresser, endepunktstillit og dataveier. Ingen av dem er automatisk trygg, og VPN-medlemskap alene avgjør ingenting. Sammenlign designene før det finnes en tillatelsesregel.

To veier, to kildeadresser

Ved direkte tilgang bærer den bærbare PC-en klientkonfigurasjonen og åpner databaseforbindelsen selv. Ved en ekstern arbeidsstasjon åpner den bærbare PC-en en skrivebordsøkt, og arbeidsstasjonen lager SQL-forbindelsen fra sin egen adresse. Databasen ser derfor VPN-poolen eller en oversatt gateway i det første designet, og arbeidsstasjonens adresse i det andre. Den forskjellen avgjør hvilken brannmurregel og hvilken SQL-tillatelse som faktisk gjelder.

Den bærbare PC-en styrer fortsatt fjernøkten, så en arbeidsstasjon erstatter ikke brukerautentisering eller øktpolicy.

Kontroller hva databasen faktisk ser

Kildeadressen er noe man måler i stedet for å utlede fra et diagram. Les den fra serversiden av en aktiv forbindelse.

Test-NetConnection sql.example.com -Port 1433
sqlcmd -S tcp:sql.example.com,1433 -N -d appdb -Q "select SUSER_SNAME() as login_name, DB_NAME() as db"

Tilkoblingstesten beviser at lytteren godtar TCP fra det nettverket, mens spørringen beviser hvilken innlogging og hvilken database økten nådde. For å se adressen serveren registrerte, spør sys.dm_exec_connections for gjeldende økt, noe som returnerer klientadressen etter enhver oversettelse. Hvis den verdien er en gateway og ikke den bærbare PC-en, kan en vertsregel per bruker ikke fungere på databasemaskinen. Skriv den observerte verdien ved siden av det valgte designet, fordi gjenoppkoblinger og poolendringer flytter den.

Åpne lytteren og ingenting mer

Åpne bare tjenesten utrullingen trenger. Den kjente 1433 er standardinstansens port, ikke en universell konstant.

Get-NetTCPConnection -State Listen -LocalPort 1433

Navngitte instanser lytter ofte på en dynamisk port, der SQL Server Browser svarer på oppdagelse over UDP 1434, og den avhengigheten er en egen eksponering som må begrunnes. Å feste en fast port til instansen fjerner behovet for Browser og gjør brannmurreglene stabile. Behold krypterings- og sertifikatkontrollene klienten allerede utfører, i stedet for å slå dem av for å få en test til å bestå. Deretter gir du databaseroller for arbeidsbelastningen i stedet for å legge hele VPN-gruppen til en serverrolle.

Bevis den tillatte veien og den avviste

Åpne en ny økt som en vanlig godkjent bruker, og bekreft serveridentiteten, databasen og operasjonen som kreves. Bekreft deretter utelukkelsen: en kilde eller konto utenfor policyen må feile på samme test. For arbeidsstasjonsdesignet, verifiser at den bærbare PC-en ikke kan omgå grensen ved å nå databasen direkte. For direkte tilgang, verifiser at ruten og kilderegelen fortsatt gjelder etter en gjenoppkobling.

Registrer hvor klienten kjørte, hvilken kilde databasen observerte og hvilken regel som tillot det. Det er beviset den neste gjennomgangen vil be om.