SQL prek VPN: neposredni odjemalec ali notranja delovna postaja?

Ekipe želijo SSMS na svojih prenosnikih, hitra rešitev pa je objava vrat SQL v sklad VPN. Počasnejši odgovor sprašuje, kje naj bi tekel odjemalčev proces, ker neposreden dostop in notranja delovna postaja ustvarjata različne izvorne naslove, zaupanje končne točke in podatkovne poti. Nobena ni samodejno varna in samo članstvo v VPN ne odloči ničesar. Primerjajte zasnove, preden obstaja pravilo dovoljenja.

Dve poti, dva izvorna naslova

Pri neposrednem dostopu prenosnik nosi konfiguracijo odjemalca in sam odpre povezavo do podatkovne baze. Pri oddaljeni delovni postaji prenosnik odpre sejo namizja, delovna postaja pa vzpostavi povezavo SQL z lastnega naslova. Podatkovna baza zato v prvi zasnovi vidi sklad VPN ali prevedena vrata, v drugi pa naslov delovne postaje. Ta razlika odloči, katero pravilo požarnega zidu in katero dovoljenje SQL dejansko veljata.

Prenosnik še vedno nadzoruje oddaljeno sejo, zato delovna postaja ne nadomesti preverjanja pristnosti uporabnika ali politike seje.

Preverite, kaj podatkovna baza dejansko vidi

Izvorni naslov je treba izmeriti, ne sklepati iz diagrama. Preberite ga na strežniški strani aktivne povezave.

Test-NetConnection sql.example.com -Port 1433
sqlcmd -S tcp:sql.example.com,1433 -N -d appdb -Q "select SUSER_SNAME() as login_name, DB_NAME() as db"

Preizkus povezljivosti dokazuje, da poslušalec sprejema TCP iz tega omrežja, poizvedba pa dokazuje, do katere prijave in katere podatkovne baze je prišla seja. Za ogled naslova, ki ga je zabeležil strežnik, poizvedite sys.dm_exec_connections za trenutno sejo, kar vrne naslov odjemalca po kakršnem koli prevodu. Če je ta vrednost prehod in ne prenosnik, pravilo gostitelja na uporabnika ne more delovati na stroju s podatkovno bazo. Zapišite opaženo vrednost ob izbrani zasnovi, ker ponovne povezave in spremembe sklada to premaknejo.

Odprite poslušalec in nič drugega

Odprite samo storitev, ki jo uvajanje potrebuje. Znana 1433 so vrata privzete instance, ne univerzalna konstanta.

Get-NetTCPConnection -State Listen -LocalPort 1433

Poimenovane instance pogosto poslušajo na dinamičnih vratih, SQL Server Browser pa odgovarja na odkrivanje prek UDP 1434, in ta odvisnost je ločena izpostavljenost, ki jo je treba utemeljiti. Pripeti stalna vrata instanci odpravi potrebo po Browserju in stabilizira pravila požarnega zidu. Ohranite preverjanja šifriranja in potrdil, ki jih odjemalec že izvaja, namesto da jih izklopite, da preizkus uspe. Nato dodelite vloge podatkovne baze za delovno obremenitev, namesto da celotno skupino VPN dodate v strežniško vlogo.

Dokažite dovoljeno pot in zavrnjeno

Odprite novo sejo kot običajen odobren uporabnik in potrdite identiteto strežnika, podatkovno bazo in zahtevano operacijo. Nato potrdite izključitev: vir ali račun zunaj politike mora na istem preizkusu spodleteti. Pri zasnovi z delovno postajo preverite, da prenosnik ne more obiti meje z neposrednim doseganjem podatkovne baze. Pri neposrednem dostopu preverite, da pot in izvorno pravilo po ponovni povezavi še veljata.

Zabeležite, kje je odjemalec tekel, kateri vir je podatkovna baza opazila in katero pravilo je to dovolilo. To so dokazi, ki jih bo zahteval naslednji pregled.