Blokuje komerčný VPN port 5432? Porovnajte svoje možnosti

Aplikácia sa každý deň rozprávala so svojou databázou z kancelárie. Potom niekto zapol komerčného klienta VPN na tom istom notebooku a spojenie sa začalo po handshake resetovať. V aplikácii sa nič nezmenilo, tunel hlási, že je v poriadku, a firewall, ktorý ovládate, nemá žiadne blokovacie pravidlo. Zmenila sa výstupná cesta: servery poskytovateľa sú zdieľané koncové body s vysokým objemom a poskytovatelia filtrujú odchádzajúce porty, aby obmedzili zneužitie. Databázové a poštové odosielacie porty dostávajú väčšinu z toho, pretože práve tieto porty priťahujú skenovanie a spam z anonymného fondu adries.

Päťminútový test, ktorý oddelí filtrovanie od všetkého ostatného

Z toho istého stroja otestujte jeden port, ktorý musí byť otvorený, a port, ktorý zlyháva, na tom istom hostiteľovi, s tunelom zapnutým a potom vypnutým. Použite ten istý príkaz v oboch prípadoch, aby jedinou premennou bol tunel:

Test-NetConnection db.example.com -Port 443
Test-NetConnection db.example.com -Port 5432
nc -vz -w3 db.example.com 5432

Štyri výsledky pokrývajú takmer každý prípad. Ak 443 funguje a 5432 zlyháva len so zapnutým tunelom, vidíte filtrovanie portov na výstupnej ceste. Ak oba zlyhávajú so zapnutým tunelom a oba fungujú bez neho, problém je v smerovaní alebo DNS, nie v politike portov. Ak sa oba porty pripoja, ale aplikácia stále zlyháva, chyba je v autentifikácii alebo TLS, nie v dostupnosti. A ak zlyháva len jedno umiestnenie servera poskytovateľa, ide o politiku pre konkrétny server, takže pred akoukoľvek zmenou konfigurácie skúste iné umiestnenie.

Možnosť jedna: rozdelený tunel pre podsiet databázy

Ak notebook potrebuje komerčný VPN len na iné účely, vylúčte rozsah adries databázy z tunela, aby prevádzka nikdy nevstúpila do zdieľaného výstupu. Toto je najčistejšia možnosť, keď sa obe cesty naozaj nemusia stretnúť, a nestojí nič okrem pravidla smerovania, ktoré môžete zdokumentovať. Kompromis je v tom, že rozdelený tunel zavádza druhú plochu politiky: to, čo je z tunela vylúčené, musí byť zámerné, nie vedľajší účinok podsiete, ktorú niekto pridal neskôr.

Prestane fungovať v momente, keď databáza žije v sieti, do ktorej má VPN dosiahnuť, takže to skontrolujte, kým sa pre to rozhodnete.

Možnosť dva: vlastný koncový bod, vlastný výstup

Prevádzkovanie malého koncového bodu VPN na VPS vám dáva kontrolu nad výstupnou politikou a nezapája žiadny zdieľaný fond. To je možnosť, ktorú stojí za to poctivo porovnať s komerčným klientom: získate predvídateľnú zdrojovú adresu a stratíte globálnu stopu a pohodlie poskytovateľa. Pre tím, ktorý potrebuje databázové a poštové porty celý deň, kompromis zvyčajne vychádza v prospech vlastníctva koncového bodu, pretože spôsobom zlyhania sa stane vaša vlastná chybná konfigurácia, nie cudzia politika proti zneužitiu.

Porovnajte obe možnosti podľa stability zdrojovej adresy, podľa toho, kto môže čítať vašu prevádzku, a podľa toho, čo sa stane v deň, keď poskytovateľ koncového bodu zmení svoje vlastné filtrovanie.

Možnosť tri: vyberte notebook z cesty

Úloha CI, naplánovaný kontajner alebo bastion hostiteľ v povolenej sieti nezávisia od stavu tunela človeka. Dostaňte sa k databáze tunelom SSH z hostiteľa, ktorý je už povolený, a notebook nikdy nehovorí s portom priamo. Toto je možnosť, ktorá škáluje, keď na rovnaké obmedzenie narazí viac ľudí, a je to aj tá, ktorá problém odstraňuje namiesto toho, aby ho obchádzala.

Vyžaduje viac práce vopred ako pravidlo rozdeleného tunela a nepomôže tomu jednému človeku, ktorý práve teraz potrebuje interaktívnu reláciu.

Prečo je pridanie adresy poskytovateľa na zoznam povolených nesprávne porovnanie

Pridanie výstupnej adresy poskytovateľa na databázový zoznam povolených funguje a tiež udeľuje prístup každému ďalšiemu predplatiteľovi, ktorý túto adresu v tej chvíli zdieľa. Pri replike iba na čítanie za úzko prideleným účtom aplikácie môže byť expozícia na jeden deň únosná. Pri čomkoľvek zapisovateľnom to nie je kompromis, ktorý by stál za pomenovanie, a rotujúce výstupné adresy to zhoršujú: každá zmena servera porušuje pravidlo a údržba láka široké položky CIDR, ktoré ničia zmysel zoznamu povolených.

Vyhradené alebo statické adresy, tam kde ich poskytovateľ predáva, sú jediná verzia tohto, ktorá škáluje. Pripevnite zoznam povolených k adrese, ktorá je len vaša, alebo ho nepripevňujte vôbec.

Čokoľvek si vyberiete, zapíšte cestu a dôvod. Ďalší človek narazí na to isté resetované spojenie a začne viniť aplikáciu.