Ali komercialni VPN blokira vrata 5432? Primerjajte svoje možnosti

Aplikacija se je vsak dan iz pisarne pogovarjala s svojo zbirko podatkov. Potem je nekdo vklopil komercialnega odjemalca VPN na istem prenosniku in povezava se je začela ponastavljati po rokovanju. V aplikaciji se ni nič spremenilo, tunel poroča, da je zdrav, požarni zid, ki ga upravljate, pa nima nobenega pravila za blokiranje. Spremenila se je izhodna pot: strežniki ponudnika so skupne končne točke z velikim prometom, ponudniki pa filtrirajo izhodna vrata, da zmanjšajo zlorabe. Vrata zbirk podatkov in pošiljanja pošte dobijo največji del, ker prav ta vrata privlačijo skeniranje in neželeno pošto iz anonimnega nabora naslovov.

Petminutni preizkus, ki loči filtriranje od vsega drugega

Z istega računalnika preizkusite ena vrata, ki morajo biti odprta, in vrata, ki odpovejo, na istem gostitelju, s tunelom vklopljenim in nato izklopljenim. Uporabite isti ukaz obakrat, da bo edina spremenljivka tunel:

Test-NetConnection db.example.com -Port 443
Test-NetConnection db.example.com -Port 5432
nc -vz -w3 db.example.com 5432

Štirje izidi pokrijejo skoraj vsak primer. Če 443 deluje in 5432 odpove samo pri vklopljenem tunelu, vidite filtriranje vrat na izhodni poti. Če oboje odpove s tunelom in oboje deluje brez njega, je težava v usmerjanju ali DNS, ne v politiki vrat. Če se oba vrata povežeta, aplikacija pa še vedno odpove, je krivda v preverjanju pristnosti ali TLS, ne v dosegljivosti. In če odpove le ena lokacija strežnika ponudnika, gre za politiko na strežnik, zato poskusite drugo lokacijo, preden se dotaknete kakršne koli konfiguracije.

Možnost ena: razdeljen tunel za podomrežje zbirke podatkov

Če prenosnik potrebuje komercialni VPN le za druge namene, izključite obseg naslovov zbirke podatkov iz tunela, da promet nikoli ne vstopi v skupni izhod. To je najčistejša možnost, ko se poti res ne potrebujeta srečati, in ne stane nič drugega kot pravilo usmerjanja, ki ga lahko dokumentirate. Kompromis je, da razdeljen tunel uvede drugo površino politike: kar je izključeno iz tunela, mora biti namerno, ne stranski učinek podomrežja, ki ga je nekdo dodal pozneje.

Preneha delovati v trenutku, ko zbirka podatkov živi v omrežju, ki naj bi ga VPN dosegel, zato to preverite, preden se zanj odločite.

Možnost dve: lastna končna točka, lasten izhod

Izvajanje majhne končne točke VPN na VPS vam da nadzor nad izhodno politiko in pri tem ne sodeluje noben skupni nabor. To je možnost, ki si zasluži pošteno primerjavo s komercialnim odjemalcem: pridobite predvidljiv izvorni naslov in izgubite globalno prisotnost ter udobje ponudnika. Za ekipo, ki potrebuje vrata zbirk podatkov in pošte ves dan, kompromis običajno prevaga v korist lastne končne točke, ker način odpovedi postane vaša lastna napačna konfiguracija in ne politika zlorabe nekoga drugega.

Primerjajte ju po stabilnosti izvornega naslova, po tem, kdo lahko bere vaš promet, in po tem, kaj se zgodi na dan, ko ponudnik končne točke spremeni svoje filtriranje.

Možnost tri: umaknite prenosnik s poti

Opravilo CI, načrtovan vsebnik ali gostitelj bastiona v dovoljenem omrežju niso odvisni od stanja tunela človeka. Do zbirke podatkov pridite po tunelu SSH z gostitelja, ki je že dovoljen, in prenosnik nikoli ne govori neposredno z vrati. To je možnost, ki se razširi, ko se več ljudi sooči z isto omejitvijo, in je tudi tista, ki težavo odpravi, namesto da bi se ji izognila.

Zahteva več dela vnaprej kot pravilo razdeljenega tunela in ne pomaga tistemu posamezniku, ki zdaj potrebuje interaktivno sejo.

Zakaj je dodajanje naslova ponudnika na seznam dovoljenih napačna primerjava

Dodajanje izhodnega naslova ponudnika na seznam dovoljenih za zbirko podatkov deluje in tudi daje dostop vsakemu drugemu naročniku, ki si ta naslov v tistem trenutku deli. Za repliko samo za branje za ozko dodeljenim računom aplikacije je izpostavljenost morda znosna za en dan. Za vse, kar je zapisljivo, to ni kompromis, vreden imena, in vrteči se izhodni naslovi ga poslabšajo: vsaka sprememba strežnika zlomi pravilo, vzdrževanje pa vabi široke vnose CIDR, ki izničijo namen seznama dovoljenih.

Namenski ali statični naslovi, kjer jih ponudnik prodaja, so edina različica tega, ki se razširi. Povežite seznam dovoljenih z naslovom, ki je samo vaš, ali ga ne povežite sploh.

Karkoli izberete, zapišite pot in razlog. Naslednja oseba bo naletela na isto ponastavljajočo se povezavo in začela kriviti aplikacijo.