VPN way isku xirtaa, laakiin SQL Server wuu diidayaa xaqiijinta Windows

Tunnel-yadu way kacaan, server-yadu waxay ka jawaabaan ping, gelitaanka database-ka weli wuu ku guuldareystaa khalad xaqiijin. Isku darkaas waa caadi xiriirka VPN mana badanaa macneeyo in shabakaddu xumaatay, sababtoo ah dhageystaha la gaari karo iyo gelitaanka la aqbalay waa laba natiijo oo kala duwan. Aqoonsiga qanciyay albaabka ma aha daruuri aqoonsiga macmiilka database-ku bixiyo. Ogaanshaha xisaabta soo gashay waa shaqada oo dhan.

Calaamadda: server la gaari karo, gelitaan la diiday

Waqti-dhaafku wuxuu kuu sheegaa in xirmadu waligeed gaarin dhageyste. Khaladka xaqiijintu wuxuu sheegaa in dhageystuhu jawaabay oo diiday aqoonsiga. Labada fariin waxay kuu diraan kooxo kala duwan, isku darkooduna maalin ku lumiyaa sharciyada dab-demiska ee aan waligood dhibaatada ahayn.

Marka khaladku yahay gelitaan guuldareystay, jooji eegista dekedaha. Su'aasha hadhay waa aqoonsiga Windows ee macmiilku soo bandhigay, haddii server-ku aqbalay aqoonsigaas, iyo haddii uu u rogmaday isticmaale database leh fasax.

Laba aqoonsi, hal tunnel

Xisaabta VPN waxay isku xaqiijisaa albaabka gudihiis oo inta badan rakibaadda waxay ku dhammaataa halkaas. Macmiilka database-ku si gooni ah wuxuu soo bandhigaa token Windows, oo laga soo qaatay habka socodsiinaya, ama gelitaan SQL haddii xarigga isku xirka uu codsado mid. Isticmaale VPN maxalli ah oo albaabka jooga ma laha xiriir la leh domain-ka martigeliyaha SQL Server, tunnel-kuna ma abuuro mid.

Ku xirka mishiin shaqsi ah VPN kama dhigayo domain-ka sidoo kale. Magaca beddelka xisaab maxalli ah iyo isku mid ka dhiga password-keeda isticmaale domain ma aha hab diiwaangelin, wuxuuna soo saaraa token aan kontoroolka domain-ku u aqbalayn isticmaalahaas.

Qaar ka mid ah macmiilada gelitaanka fog ee Windows-ka asalka ah waxay dib u isticmaali karaan aqoonsiga VPN kheyraadka shabakadda marka profile-kooda sidaas loo habeeyay. Dabeecaddaas waxay leedahay macmiil iyo profile gaar ah, ma aha xiriirka VPN guud ahaan, marka ku hubi macmiilka la isticmaalayo halkii aad ka qaadan lahayd.

Akhri habka uu macmiilku codsaday

Xarigga isku xirku wuxuu go'aamiyaa waddada xaqiijin ee macmiilku qaato. Ammaanka isku dhafan wuxuu isticmaalaa token Windows; lammaanaha isticmaale iyo password wuxuu dooranayaa gelitaan SQL. Kuwani waa habab gooni ah oo ku jira habaynta server-ka, oo isku dayga xiriir gaar ah mid keliya ayaa laga dhigi karaa mid shaqeeya.

Server=tcp:sql.lab.example,1433;Database=ops;Integrated Security=SSPI;Encrypt=True;TrustServerCertificate=False;

U gudubka gelitaan SQL sababtoo ah gelitaanka Windows wuu guuldareystay waa xal ku meel gaar ah oo qariya su'aasha aqoonsiga, wuxuuna inta badan weli u baahan yahay abuurista gelitaan iyo password cusub. Haddii rakibaaddu u baahan tahay xaqiijinta Windows, hayso habka oo hagaaji waddada aqoonsiga. Gelitaanka SQL sidoo kale wuxuu u baahan yahay fasaxyadiisa, marka xalku wuxuu iibsadaa xisaab labaad oo la ilaaliyo.

Sidoo kale xaqiiji barnaamijka isku xiraya. Adeeg ku socda xisaab nidaam, hawlo la qorsheeyay iyo daaqad weydiin isdhexgal ah waxay soo bandhigi karaan saddex token oo kala duwan isla mishiin, oo kan ugu dambeeya oo keliya ayaa u dhigma waxa isticmaaluhu arko marka uu socodsiiyo whoami.

Weydii server-ka waxa uu runtii arkay

Server-ku wuxuu kuu sheegi karaa gelitaanka uu xalliyay iyo sida xiriirku isku xaqiijiyay. Ku socodsii weydiinta gudaha fadhiga la baarayo, sababtoo ah xiriirka guuleystay ee maamulaha si gooni ah waxba kama caddeeyo macmiilka guuldareysta.

SELECT ORIGINAL_LOGIN() AS original_login,
       SUSER_SNAME() AS current_context;
SELECT auth_scheme, net_transport
FROM sys.dm_exec_connections
WHERE session_id = @@SPID;

Sadarka koowaad wuxuu kala saaraa gelitaanka furay fadhiga iyo macnaha ammaanka ee hadda jira, oo ay kala duwan yihiin marka la isku ekaysiiyo. Kan labaad wuxuu magacaabaa nidaamka xaqiijinta, marka KERBEROS, NTLM iyo SQL waxay noqdaan xaqiiqooyin la arki karo halkii mala-awaal. Xiriirka soo sheega NTLM halka aad ka filanayd Kerberos waa dhibaato xallinta magacyada ama SPN, ma aha dhibaato password.

Lambarka khaladku wuu sii cidhiidhiyaa. Xaalad 5 badanaa waxay ka dhigan tahay magaca gelitaanka lama xallin haba yaraatee, xaalad 8 badanaa waxay ka dhigan tahay password-ku ma aha mid u dhigma, xaalad 11 waxay ka dhigan tahay aqoonsiga la aqbalay laakiin gelitaanka server-ka wuu guuldareystay. Weydii maamulaha xaaladda halkii fariinta oo dhan, sababtoo ah fariinta keligeed si ula kac ah ayay mugdi tahay.

Marka aqoonsigu yimaado oo Kerberos weli guuldareysto

Haddii server-ku arko aqoonsiga Windows loo qorsheeyay oo xaqiijinta isku dhafan weli guuldareysto, dhibaatadu waa isweydaarsiga laftiisa. Kerberos wuxuu u baahan yahay magaca koowaad ee adeegga (SPN) ee diiwaangashan xisaabta adeegga SQL iyo macmiil codsanaya adeegga magac u dhigma. Ku xirka ciwaanka IP ma u dhigmaan karo SPN ku salaysan magac, magac-beddelkuna wuxuu u dhigmaan karaa oo keliya haddii isagana diiwaangashan. Marka hore hubi magaca macmiilku qoray, sababtoo ah xiriirka ku shaqeeya magaca martigeliyaha oo ku guuldareysta IP ayaa si sax ah u qeexaya dhibaatadan.

Ka codso maamulaha inuu dib u eego aqoonsiga diiwaangashan iyo xisaabta adeegga halkii uu abuuri lahaa SPN labanlaab ah isku day iyo khalad. Diiwaangelinta labanlaabka ah waxay keentaa guuldarrooyin goos-goos ah oo ay adag tahay in la ogaado marka loo eego dhibaatada asalka ah.

Ka dib marka xaqiijintu shaqeyso, gelitaanku weli wuxuu u baahan yahay isticmaale database iyo fasaxyo. Gelitaan VPN guuleystay, gelitaan Windows guuleystay iyo fasaxa akhrinta shax gaar ah waa saddex natiijo oo gooni ah, mid kastaana wuxuu mudan yahay hubintiisa ka hor inta aan tikit-ka la xirin.