Macmiilka gudaha ee keydka xogta iyo RDS gaar ah: sababta isku xirka uu waqti ku dhammaado

Laptop-ka hal-abuure ayaa waqti ku dhamaada marka uu ku xirmo barta RDS gaar ah, halka isla aqoonsiga uu ka shaqeeyo host bastion. Waxba ma dhicin. Waddada u dhaxaysa laptop-kaas iyo keydka xogta waxaa ka maqan mid saddex ka mid ah: magac la xalliyo, waddo qaada taraafikada, ama qaanuun ku jira kooxda amniga oo ogolaada isha keydka xogta dhab ahaan arko. Ogaada midka maqan ka hor inta aadan labada kale beddelin.

Akhri fashilka lakabka saxda ah

Waqti dhammaad ma aha hal khalad. Magac aan la xallin wuu fashilmaa ka hor inta baakaddu mashiinka ka baxdo. Cinwaan aan waddo lahayn baakadaha wuxuu u diraa god madow. Deked la sifeeyay waxay abuurtaa sugitaan u eg host khaldan. Tallaabooyinka si taxane ah u fuli oo ku joogso tallaabada ugu horreysa ee fashilma.

dig +short db.internal.example
nc -vz db.internal.example 5432

Haddii magacu soo celiyo cinwaan guud, ama waxba soo celin, tunnel-ku weli ma aha dhibaatada.

Haddii magacu xalliyo oo imtixaanka dekeddu hakad galo, isbarbar dhig cinwaanka aad xallisey iyo cinwaanka keydka xogta soo sheego. Barta maamulan waxay u xallin kartaa cinwaan gaar ah gudaha VPC iyo wax aan faa'iido lahayn dibaddiisa, cinwaan laga koobiyeeyay raadin hore wuxuu tilmaamayaa host aan mar dambe jawaabin.

Ka sooc tunnel-ka waddada

Ku xiridda VPN macmiil ma si otomaatig ah u waddo kala duwanaansho kasta oo gaar ah. Profilku wuxuu qaadaa waddooyinka adeeggu riixo, macmiilkaana waxaa laga yaabaa inuu kaliya qaar ka mid ah rakibo. Eeg kala duwanaanshaha macmiilku dhab ahaan ku daray iyo haddii cinwaanka keydka xogta uu ku dhaco mid ka mid ah.

ip route get 10.20.40.15
ip addr show tun0

Waddo u tilmaamaysa interface tunnel-ka waa lagama maarmaan; kuma filna, sababtoo ah dhinaca kale wali waa inuu aqbalo taraafikada.

Profilada tunnel-ka qaybsan waa isha caadiga ah ee fashilkan badhka ah. Waxay u shaqeeyaan barnaamijka profilku u qorsheynaaday waxayna ka tagaan kala duwanaanshaha keydka xogta tunnel-ka dibaddiisa, taasoo soo saarta isla waqtiga dhammaadka uu firewall-ku soo saari lahaa.

La jaanqaad kooxda amniga isha dhabta ah

Kooxda amniga RDS waxay ogolaataa ilo, ma ogolaato dad. Iyadoo ku xiran qaab-dhismeedka, ishu waxay noqon kartaa barkadda macmiilka VPN, cinwaanka gaarka ah ee bastion, ama cinwaanka NAT ee taraafikada loo turjumo. Akhri qaanuunka iyo isha dhabta ah ee baakadda si wadajir ah.

aws ec2 describe-security-groups --group-ids sg-0123456789abcdef0 \
  --query 'SecurityGroups[].IpPermissions'

Qaanuun loogu talagalay cinwaanka guriga hal laptop waa dhibaato dayactir, ma aha naqshad gelitaan.

Marka VPN macmiil ama gateway NAT uu waddada ku jiro, keydka xogta waxaa laga yaabaa inuu arko cinwaanka turjubaanka halkii cinwaanka tunnel-ka hal-abuuraha. Taasi waa sababta qaanuun laga koobiyeeyay habaynta bastion shaqaysa uu u fashilmi karo laptop: labada waddo waxay ka yimaadaan ilo kala duwan inkastoo labaduba u eg yihiin kuwo gudaha ah.

Dooro waddo cidhiidhi ah oo ka wanaagsan mid ballaaran

Marka hal-abuure keliya uu u baahan yahay hal keyd xogta, gudbinta ku salaysan fadhiga ayaa inta badan ka jaban maamulka marka loo eego tunnel shabakadeed buuxa. Macmiilka guduhu wuxuu ku xirmaa deked la gudbiyay, qaybta fogna waxay isku xirka keydka xogta ka samaysaa gudaha shabakadda.

ssh -N -L 5432:db.internal.example:5432 bastion.internal.example

Ku hay xaqiijinta TLS mid aan dhaqaaqin naqshaddaas. Macmiilku wali waa inuu caddeeyo shahaadada server-ka marka loo eego magaca uu filayo; deked gudaha lagu gudbiyay ma aha sabab lagu damiyo xaqiijinta, damintuna waxay qarinaysaa isla dhibaatada aqoonsiga ee u qalanta in la qabto.

Doorashada u dhaxaysa tunnel buuxa iyo gudbin cidhiidhi ah waa go'aan ku saabsan baaxadda, ma aha masrax ammaan.

Ka tag waddo dib loo celin karo

Diiwaangeli magaca barta ee ma aha cinwaan la xalliyay, baaxadda isha ee kooxda amnigu ogolaato, iyo doorka keydka xogta ee hal-abuurahu isticmaalo. Saddexdan xaqiiqo waxay sharraxaan inta badan fashilalka mustaqbalka iyada oo aan telefoon la wicin. Ku dar sidoo kale nuqulka profilka macmiilka, sababtoo ah isbeddel profil ayaa laga yaabaa inuu ka saaro waddo uu qaaday kii hore.

Kadib hal mar tijaabi kiiska taban: macmiil ka baxsan isha la ansixiyay wali waa in la diido.

Keyd xogta gaar ah oo kaliya u shaqeeya qofka iska sameeyay ma aha gelitaan gaar ah; waa ka reebid aan la diiwaangelin oo sugaya in mar kale la helo. Qor waddada, hal-abuuraha xigana wuxuu dhaxli doonaa hab ma aha sir.