Un VPN comercial blochează portul 5432? Comparați opțiunile

Aplicația vorbea cu baza sa de date de la birou în fiecare zi. Apoi cineva a activat clientul VPN comercial pe același laptop, iar conexiunea a început să se reseteze după strângerea de mână. Nimic din aplicație nu s-a schimbat, tunelul raportează că este sănătos, iar firewall-ul pe care îl controlați nu are nicio regulă de blocare. Ce s-a schimbat este calea de ieșire: serverele furnizorului sunt puncte finale partajate cu volum mare, iar furnizorii filtrează porturile de ieșire pentru a reduce abuzurile. Porturile bazelor de date și de trimitere a poștei primesc cea mai mare parte, pentru că acestea sunt porturile care atrag scanări și spam dintr-un pool de adrese anonim.

Testul de cinci minute care separă filtrarea de orice altceva

De pe aceeași mașină, sondați un port care trebuie să fie deschis și portul care eșuează, pe același host, cu tunelul pornit și apoi oprit. Folosiți aceeași comandă de ambele ori, astfel încât singura variabilă să fie tunelul:

Test-NetConnection db.example.com -Port 443
Test-NetConnection db.example.com -Port 5432
nc -vz -w3 db.example.com 5432

Patru rezultate acoperă aproape toate cazurile. Dacă 443 funcționează și 5432 eșuează doar cu tunelul pornit, vedeți filtrare de porturi pe calea de ieșire. Dacă ambele eșuează cu tunelul pornit și ambele funcționează fără el, problema este rutarea sau DNS-ul, nu politica de porturi. Dacă ambele porturi se conectează dar aplicația tot eșuează, vina este a autentificării sau a TLS-ului, nu a accesibilității. Și dacă eșuează doar o singură locație de server a furnizorului, este politică pe server, așa că încercați altă locație înainte de a atinge vreo configurație.

Opțiunea unu: tunel separat pentru subrețeaua bazei de date

Dacă laptopul are nevoie de VPN-ul comercial doar pentru alte scopuri, excludeți intervalul de adrese al bazei de date din tunel, astfel încât traficul să nu intre niciodată în ieșirea partajată. Aceasta este cea mai curată opțiune atunci când cele două căi chiar nu trebuie să se întâlnească, și nu costă nimic în afara unei reguli de rutare pe care o puteți documenta. Compromisul este că tunelul separat introduce o a doua suprafață de politică: ceea ce este exclus din tunel trebuie să fie deliberat, nu un efect secundar al unei subrețele adăugate mai târziu de cineva.

Nu mai funcționează în momentul în care baza de date se află în rețeaua pe care VPN-ul ar trebui să o atingă, așa că verificați asta înainte de a vă angaja.

Opțiunea doi: propriul punct final, propria ieșire

Rularea unui mic punct final VPN pe un VPS vă pune politica de ieșire sub control, iar niciun pool partajat nu este implicat. Aceasta este opțiunea care merită comparată sincer cu clientul comercial: câștigați o adresă de origine previzibilă și pierdeți amprenta globală și confortul furnizorului. Pentru o echipă care are nevoie de porturile bazei de date și de poștă toată ziua, compromisul înclină de obicei spre deținerea punctului final, pentru că modul de eșec devine configurarea dumneavoastră greșită, nu politica de abuz a altcuiva.

Comparați-le pe stabilitatea adresei de origine, pe cine poate citi traficul dumneavoastră și pe ce se întâmplă în ziua în care furnizorul punctului final își schimbă propria filtrare.

Opțiunea trei: scoateți laptopul din cale

O sarcină CI, un container programat sau un host bastion din rețeaua permisă nu depind de starea tunelului unei persoane. Atingeți baza de date printr-un tunel SSH de pe un host care este deja permis, iar laptopul nu vorbește niciodată direct cu portul. Aceasta este opțiunea care scalează când mai multe persoane întâlnesc aceeași restricție și este și cea care elimină problema în loc să o ocolească.

Necesită mai multă muncă în avans decât o regulă de tunel separat și nu ajută persoana care are nevoie acum de o sesiune interactivă.

De ce adăugarea adresei furnizorului pe o listă de permisiuni este comparația greșită

Adăugarea adresei de ieșire a furnizorului pe o listă de permisiuni a bazei de date funcționează și acordă acces și fiecărui alt abonat care partajează acea adresă în acel moment. Pentru o replică doar pentru citire în spatele unui cont de aplicație acordat îngust, expunerea ar putea fi tolerabilă pentru o zi. Pentru orice este inscriptibil, nu este un compromis care merită numit, iar adresele de ieșire rotative îl înrăutățesc: fiecare schimbare de server rupe regula, iar întreținerea invită intrări CIDR largi care anulează scopul unei liste de permisiuni.

Adresele dedicate sau statice, acolo unde furnizorul le vinde, sunt singura versiune a acestui lucru care scalează. Legați lista de permisiuni de o adresă care este numai a dumneavoastră, sau nu o legați deloc.

Orice ați alege, notați calea și motivul. Următoarea persoană va întâlni aceeași conexiune care se resetează și va începe să dea vina pe aplicație.