A e bllokon një VPN komercial portën 5432? Krahasoni opsionet tuaja

Aplikacioni fliste me bazën e të dhënave nga zyra çdo ditë. Më pas dikush aktivizoi klientin komercial VPN në të njëjtin laptop, dhe lidhja filloi të ristartej pas shtrëngimit të duarve. Asgjë në aplikacion nuk ndryshoi, tuneli raporton se është i shëndetshëm, dhe firewall-i që ju kontrolloni nuk ka asnjë rregull bllokimi. Ajo që ndryshoi është rruga e daljes: serverët e ofruesit janë pika terminale të përbashkëta me volum të lartë, dhe ofruesit filtrojnë portat dalëse për të ulur abuzimet. Portat e bazave të të dhënave dhe të dërgimit të postës marrin pjesën më të madhe, sepse janë pikërisht këto porta që tërheqin skanim dhe spam nga një pishinë adresash anonime.

Testi pesëminutësh që ndan filtrimin nga gjithçka tjetër

Nga e njëjta makinë, sondoni një portë që duhet të jetë e hapur dhe portën që dështon, në të njëjtin host, me tunelin aktiv dhe më pas të fikur. Përdorni të njëjtin komandë të dyja herët, që ndryshorja e vetme të jetë tuneli:

Test-NetConnection db.example.com -Port 443
Test-NetConnection db.example.com -Port 5432
nc -vz -w3 db.example.com 5432

Katër rezultate mbulojnë pothuajse çdo rast. Nëse 443 funksionon dhe 5432 dështon vetëm me tunelin aktiv, po shihni filtrim portash në rrugën e daljes. Nëse të dyja dështojnë me tunelin aktiv dhe të dyja funksionojnë pa të, problemi është rrugëtimi ose DNS, jo politika e portave. Nëse të dyja portat lidhen por aplikacioni ende dështon, faji është i vërtetimit ose i TLS, jo i arritshmërisë. Dhe nëse dështon vetëm një vendndodhje e serverit të ofruesit, kjo është politikë për server, prandaj provoni një vendndodhje tjetër para se të prekni çdo konfigurim.

Opsioni një: tunel i ndarë për nënrrjetin e bazës së të dhënave

Nëse laptopi ka nevojë për VPN-in komercial vetëm për qëllime të tjera, përjashtoni intervalin e adresave të bazës së të dhënave nga tuneli, që trafiku të mos hyjë kurrë në daljen e përbashkët. Ky është opsioni më i pastër kur dy rrugët vërtet nuk duhet të takohen, dhe nuk kushton asgjë përveç një rregulli rrugëtimi që mund ta dokumentoni. Kompromisi është se tuneli i ndarë fut një sipërfaqe të dytë politike: ajo që përjashtohet nga tuneli duhet të jetë e qëllimshme, jo një efekt anësor i një nënrrjeti që dikush e shtoi më vonë.

Ndalon së funksionuari në momentin kur baza e të dhënave ndodhet brenda rrjetit që VPN-i duhet të arrijë, prandaj kontrollojeni këtë përpara se të angazhoheni.

Opsioni dy: pika juaj terminale, dalja juaj

Të drejtosh një pikë të vogël terminale VPN në një VPS ju jep kontrollin e politikës së daljes, dhe nuk përfshihet asnjë pishinë e përbashkët. Ky është opsioni që meriton një krahasim të ndershëm me klientin komercial: fitoni një adresë burimore të parashikueshme dhe humbni gjurmën globale dhe komoditetin e ofruesit. Për një ekip që ka nevojë për portat e bazës së të dhënave dhe të postës gjatë gjithë ditës, kompromisi zakonisht anon në favor të zotërimit të pikës terminale, sepse mënyra e dështimit bëhet konfigurimi juaj i gabuar dhe jo politika e abuzimit të dikujt tjetër.

Krahasoni të dyja për qëndrueshmërinë e adresës burimore, për atë se kush mund të lexojë trafikun tuaj, dhe për atë që ndodh ditën kur ofruesi i pikës terminale ndryshon filtrimin e vet.

Opsioni tre: nxirrni laptopin nga rruga

Një punë CI, një kontejner i planifikuar ose një host bastion brenda rrjetit të lejuar nuk varen nga gjendja e tunelit të një njeriu. Arritni bazën e të dhënave përmes tunelit SSH nga një host që është tashmë i lejuar, dhe laptopi nuk flet kurrë drejtpërdrejt me portën. Ky është opsioni që shkallëzohet kur disa njerëz përballen me të njëjtin kufizim, dhe është gjithashtu ai që e heq problemin në vend që ta anashkalojë.

Kërkon më shumë punë paraprake sesa një rregull tuneli i ndarë, dhe nuk ndihmon personin që ka nevojë tani për një sesion interaktiv.

Pse shtimi i adresës së ofruesit në një listë të lejuar është krahasimi i gabuar

Shtimi i adresës dalëse të ofruesit në një listë të lejuar të bazës së të dhënave funksionon, dhe gjithashtu i jep akses çdo abonenti tjetër që e ndan atë adresë në atë moment. Për një replikë vetëm-lexim pas një llogarie aplikacioni të dhënë ngushtë, ekspozimi mund të jetë i tolerueshëm për një ditë. Për çdo gjë që mund të shkruhet, nuk është një kompromis që meriton emër, dhe adresat dalëse rrotulluese e përkeqësojnë: çdo ndryshim serveri thyen rregullin, dhe mirëmbajtja fton zëra të gjerë CIDR që prishin qëllimin e një liste të lejuar.

Adresat e dedikuara ose statike, aty ku ofruesi i shet, janë versioni i vetëm i kësaj që shkallëzohet. Lidhni listën e lejuar me një adresë që është vetëm e juaja, ose mos e lidhni fare.

Çfarëdo që të zgjidhni, shkruani rrugën dhe arsyen. Personi tjetër do të ndeshet me të njëjtën lidhje që ristartohet dhe do të fillojë të fajësojë aplikacionin.