SQL over VPN: direkte klient eller intern arbeidsstasjon?

Team vil ha SSMS på dei berbare PC-ane sine, og den raske løysinga er å publisere SQL-porten til VPN-poolen. Det langsamare svaret spør kvar klientprosessen skal køyre, fordi direkte tilgang og ein intern arbeidsstasjon gir ulike kjeldadresser, endepunktstillit og datavegar. Ingen av dei er automatisk trygge, og VPN-medlemskap åleine avgjer ingenting. Samanlikn designa før det finst ein løyveregel.

To vegar, to kjeldadresser

Ved direkte tilgang ber den berbare PC-en klientkonfigurasjonen og opnar databasekoplinga sjølv. Ved ein ekstern arbeidsstasjon opnar den berbare PC-en ei skrivebordsøkt, og arbeidsstasjonen lagar SQL-koplinga frå si eiga adresse. Databasen ser derfor VPN-poolen eller ein omsett gateway i det første designet, og adressa til arbeidsstasjonen i det andre. Den skilnaden avgjer kva brannmurregel og kva SQL-løyve som faktisk gjeld.

Den berbare PC-en styrer framleis fjernøkta, så ein arbeidsstasjon erstattar ikkje brukarautentisering eller øktpolitikk.

Kontroller kva databasen faktisk ser

Kjeldadressa er noko ein måler i staden for å utleie frå eit diagram. Les ho frå serversida av ei aktiv kopling.

Test-NetConnection sql.example.com -Port 1433
sqlcmd -S tcp:sql.example.com,1433 -N -d appdb -Q "select SUSER_SNAME() as login_name, DB_NAME() as db"

Koplingstesten viser at lyttaren godtek TCP frå det nettverket, medan spørjinga viser kva innlogging og kva database økta nådde. For å sjå adressa serveren registrerte, spør sys.dm_exec_connections for gjeldande økt, noko som returnerer klientadressa etter kvar omsetjing. Viss den verdien er ein gateway og ikkje den berbare PC-en, kan ein vertsregel per brukar ikkje fungere på databasemaskinen. Skriv den observerte verdien ved sida av det valde designet, fordi gjenoppkoplingar og poolendringar flyttar han.

Opne lyttaren og ingenting meir

Opne berre tenesta utrullinga treng. Den kjende 1433 er porten til standardinstansen, ikkje ein universell konstant.

Get-NetTCPConnection -State Listen -LocalPort 1433

Namngitte instansar lyttar ofte på ein dynamisk port, der SQL Server Browser svarar på oppdaging over UDP 1434, og den avhengnaden er ei eiga eksponering som må grunngivast. Å feste ein fast port til instansen fjernar behovet for Browser og gjer brannmurreglane stabile. Behald krypterings- og sertifikatkontrollane klienten allereie utfører, i staden for å slå dei av for å få ein test til å gå gjennom. Deretter gir du databaserollar for arbeidslasta i staden for å leggje heile VPN-gruppa til ei serverrolle.

Prov den tillatne vegen og den avviste

Opne ei ny økt som ein vanleg godkjend brukar, og stadfest serveridentiteten, databasen og operasjonen som krevst. Stadfest deretter utelukkinga: ei kjelde eller konto utanfor policyen må feile på same test. For arbeidsstasjonsdesignet, verifiser at den berbare PC-en ikkje kan omgå grensa ved å nå databasen direkte. For direkte tilgang, verifiser at ruta og kjelderegelen framleis gjeld etter ei gjenoppkopling.

Registrer kvar klienten køyrde, kva kjelde databasen observerte og kva regel som tillét det. Det er beviset den neste gjennomgangen vil be om.