Blokira li komercijalni VPN port 5432? Uporedite svoje opcije

Aplikacija je svakog dana razgovarala sa svojom bazom podataka iz kancelarije. Zatim je neko uključio komercijalni VPN klijent na istom laptopu i veza je počela da se resetuje nakon rukovanja. Ništa u aplikaciji nije promenjeno, tunel prijavljuje da je zdrav, a firewall koji kontrolišete nema pravilo blokiranja. Ono što se promenilo je izlazna putanja: serveri provajdera su deljene završne tačke visokog obima, a provajderi filtriraju odlazne portove da smanje zloupotrebu. Portovi baza podataka i slanja pošte dobijaju najveći deo toga, jer su to portovi koji privlače skeniranje i spam iz anonimnog skupa adresa.

Test od pet minuta koji razdvaja filtriranje od svega ostalog

Sa istog stroja proverite jedan port koji mora biti otvoren i port koji zakaže, na istom hostu, sa uključenim pa isključenim tunelom. Koristite istu komandu u oba slučaja kako bi jedina promenljiva bio tunel:

Test-NetConnection db.example.com -Port 443
Test-NetConnection db.example.com -Port 5432
nc -vz -w3 db.example.com 5432

Četiri ishoda pokrivaju skoro svaki slučaj. Ako 443 radi, a 5432 zakaže samo sa uključenim tunelom, gledate filtriranje portova na izlaznoj putanji. Ako oba zakažu sa tunelom i oba rade bez njega, problem je u rutiranju ili DNS-u, a ne u politici portova. Ako se oba porta povežu ali aplikacija i dalje zakaže, greška je u autentifikaciji ili TLS-u, ne u dostupnosti. A ako zakaže samo jedna lokacija servera provajdera, to je politika po serveru, pa probajte drugu lokaciju pre nego što dirate bilo koju konfiguraciju.

Opcija jedan: split tunel za podmrežu baze podataka

Ako laptopu komercijalni VPN treba samo za druge svrhe, isključite raspon adresa baze podataka iz tunela tako da saobraćaj nikada ne uđe na deljeni izlaz. Ovo je najčistija opcija kada dve putanje zaista ne treba da se sretnu, i ne košta ništa osim pravila rutiranja koje možete dokumentovati. Kompromis je u tome što split tunel uvodi drugu površinu politike: ono što je isključeno iz tunela mora biti namerno, a ne nuspojava podmreže koju je neko dodao kasnije.

Prestaje da radi u trenutku kada baza podataka živi unutar mreže do koje VPN treba da stigne, pa to proverite pre nego što se opredelite.

Opcija dva: vaša završna tačka, vaš izlaz

Pokretanje male VPN završne tačke na VPS-u stavlja izlaznu politiku pod vašu kontrolu i ne uključuje deljeni skup. To je opcija koju vredi iskreno uporediti sa komercijalnim klijentom: dobijate predvidljivu izvornu adresu i gubite globalni otisak i udobnost provajdera. Za tim kojem su portovi baze podataka i pošte potrebni ceo dan, kompromis obično ide u korist posedovanja završne tačke, jer način neuspeha postaje vaša sopstvena pogrešna konfiguracija, a ne tuđa politika zloupotrebe.

Uporedite ih po stabilnosti izvorne adrese, po tome kome je dostupan vaš saobraćaj i po tome što se dešava na dan kada provajder završne tačke promeni sopstveno filtriranje.

Opcija tri: izmestite laptop iz putanje

CI posao, zakazani kontejner ili bastion host unutar dozvoljene mreže ne zavise od tunelskog stanja čoveka. Dođite do baze podataka SSH tunelom sa hosta koji je već dozvoljen i laptop nikada ne razgovara direktno sa portom. Ovo je opcija koja skalira kada više ljudi udari u isto ograničenje, a i ona koja uklanja problem umesto da ga obilazi.

Zahteva više rada unapred od pravila split tunela i ne pomaže onoj jednoj osobi kojoj je interaktivna sesija potrebna sada.

Zašto je dodavanje adrese provajdera na listu dozvoljenih pogrešno poređenje

Dodavanje izlazne adrese provajdera na listu dozvoljenih za bazu podataka funkcioniše i takođe daje pristup svakom drugom pretplatniku koji u tom trenutku deli tu adresu. Za repliku samo za čitanje iza usko dodeljenog računa aplikacije, izloženost bi mogla biti podnošljiva jedan dan. Za sve što je upisivo to nije kompromis vredan imena, a rotirajuće izlazne adrese pogoršavaju stvar: svaka promena servera krši pravilo, a održavanje poziva široke CIDR unose koji poništavaju svrhu liste dozvoljenih.

Namenske ili statične adrese, tamo gde ih provajder prodaje, jedina su verzija ovoga koja skalira. Vežite listu dozvoljenih za adresu koja je samo vaša, ili je ne vežite uopšte.

Šta god odabrali, zapišite putanju i razlog. Sledeća osoba će sresti istu vezu koja se resetuje i počeće da krivi aplikaciju.