Blokkerer ein kommersiell VPN port 5432? Samanlikn alternativa dine

Applikasjonen snakka med databasen sin frå kontoret kvar dag. Så slo nokon på den kommersielle VPN-klienten på den same laptopen, og sambandet byrja å nullstille seg etter handtrykket. Ingenting i applikasjonen endra seg, tunnelen rapporterer at han er sunn, og brannmuren du kontrollerer har inga blokkeringsregel. Det som endra seg, er utgangsvegen: serverane til leverandøren er delte endepunkt med høg trafikk, og leverandørar filtrerer utgåande portar for å redusere misbruk. Database- og e-postsendeportar får mesteparten, fordi det er desse portane som dreg til seg skanning og spam frå ein anonym adressepool.

Femminuttstesten som skil filtrering frå alt anna

Frå same maskin, undersøk ein port som må vere open og porten som feilar, på same vert, med tunnelen på og deretter av. Bruk same kommando båe gonger slik at den einaste variabelen er tunnelen:

Test-NetConnection db.example.com -Port 443
Test-NetConnection db.example.com -Port 5432
nc -vz -w3 db.example.com 5432

Fire utfall dekkjer nesten alle tilfelle. Viss 443 verkar og 5432 berre feilar med tunnelen på, ser du portfiltrering på utgangsvegen. Viss båe feilar med tunnelen på og båe verkar utan, er problemet ruting eller DNS, ikkje portpolitikk. Viss båe portane koplar til men applikasjonen framleis feilar, er feilen autentisering eller TLS, ikkje tilgjenge. Og viss berre éin av serverplasseringane til leverandøren feilar, er det politikk per server, så prøv ein annan plassering før du rører nokon konfigurasjon.

Alternativ éin: split-tunnel for databasesubnettet

Viss laptopen berre treng den kommersielle VPN-en til andre føremål, utelat adresseområdet til databasen frå tunnelen slik at trafikken aldri kjem inn i den delte utgangen. Dette er det reinaste alternativet når dei to vegane verkeleg ikkje treng å møtast, og det kostar ingenting utover ein rutingregel du kan dokumentere. Avveginga er at split-tunnel innfører ei anna politikkflate: det som er utelate frå tunnelen, må vere medvite, ikkje ein biverknad av eit subnett nokon la til seinare.

Det sluttar å verke i det augneblinken databasen ligg inne i nettverket VPN-en skal nå, så sjekk det før du forpliktar deg.

Alternativ to: ditt eige endepunkt, din eigen utgang

Å køyre eit lite VPN-endepunkt på ein VPS gir deg kontroll over utgangspolitikken, og ingen delt pool er involvert. Dette er alternativet som er verdt ein ærleg samanlikning med den kommersielle klienten: du vinn ei føreseieleg kjeldeadresse og mistar det globale fotavtrykket og komforten til leverandøren. For eit team som treng database- og e-postportar heile dagen, fell avveginga vanlegvis ut til fordel for å eige endepunktet, fordi feilmodusen blir din eigen feilkonfigurasjon i staden for misbrukspolitikken til nokon annan.

Samanlikn dei to på stabiliteten til kjeldeadressa, på kven som kan lese trafikken din, og på kva som skjer den dagen leverandøren av endepunktet endrar si eiga filtrering.

Alternativ tre: ta laptopen ut av vegen

Ein CI-jobb, ein planlagd container eller ein bastionvert inne i det tillatne nettverket er ikkje avhengig av tunnelstatusen til ein person. Nå databasen via SSH-tunnel frå ein vert som allereie er tillaten, og laptopen snakkar aldri direkte med porten. Dette er alternativet som skalerer når fleire personar treff den same avgrensinga, og det er òg det som fjernar problemet i staden for å rute rundt det.

Det krev meir arbeid på førehand enn ein split-tunnelregel, og det hjelper ikkje den eine personen som treng ein interaktiv sesjon akkurat no.

Kvifor det er den gale samanlikninga å setje adressa til leverandøren på ei tillatingsliste

Å leggje utgangsadressa til leverandøren til ei databasetillatingsliste verkar, og det gir òg tilgang til kvar annan abonnent som deler den adressa i det augneblinken. For ein skriveverna replika bak ein strengt tildelt applikasjonskonto kan eksponeringa vere akseptabel i ein dag. For noko skrivbart er det ikkje ei avveging som er verdt eit namn, og rullerande utgangsadresser gjer det verre: kvar serverendring bryt regelen, og vedlikehaldet inviterer breie CIDR-oppføringar som undergrev føremålet med ei tillatingsliste.

Dedikerte eller statiske adresser, der leverandøren sel dei, er den einaste versjonen av dette som skalerer. Lås tillatingslista til ei adresse som berre er di, eller ikkje lås ho i det heile.

Uansett kva du vel, skriv ned vegen og grunnen. Den neste personen vil møte det same nullstilte sambandet og byrje å skulde på applikasjonen.