SQL përmes VPN: klient i drejtpërdrejtë apo stacion pune i brendshëm?

Ekipet duan SSMS në laptopët e tyre, dhe zgjidhja e shpejtë është publikimi i portës SQL në pishinën VPN. Përgjigjja më e ngadaltë pyet ku duhet të ekzekutohet procesi i klientit, sepse aksesi i drejtpërdrejtë dhe një stacion pune i brendshëm prodhojnë adresa burimi, besim të pikës fundore dhe rrugë të dhënash të ndryshme. Asnjëra nuk është automatikisht e sigurt, dhe anëtarësimi në VPN vetëm nuk vendos asgjë. Krahasoni modelet përpara se të ekzistojë një rregull leje.

Dy rrugë, dy adresa burimi

Në aksesin e drejtpërdrejtë laptopi mban konfigurimin e klientit dhe hap vetë lidhjen me bazën e të dhënave. Në një stacion pune në distancë laptopi hap një sesion desktop, dhe stacioni kryen lidhjen SQL nga adresa e vet. Prandaj baza e të dhënave sheh pishinën VPN ose një portë të përkthyer në modelin e parë, dhe adresën e stacionit në të dytin. Ky ndryshim vendos cili rregull i murit të zjarrit dhe cila leje SQL zbatohen në të vërtetë.

Laptopi vazhdon të kontrollojë sesionin në distancë, prandaj një stacion pune nuk zëvendëson vërtetimin e përdoruesit ose politikën e sesionit.

Kontrolloni çfarë sheh vërtet baza e të dhënave

Adresa e burimit është diçka që matet, jo që nxirret nga një diagram. Lexojeni në anën e serverit të një lidhjeje aktive.

Test-NetConnection sql.example.com -Port 1433
sqlcmd -S tcp:sql.example.com,1433 -N -d appdb -Q "select SUSER_SNAME() as login_name, DB_NAME() as db"

Testi i lidhshmërisë dëshmon që dëgjuesi pranon TCP nga ai rrjet, ndërsa pyetja dëshmon në cilën hyrje dhe cilën bazë të dhënash arriti sesioni. Për të parë adresën që regjistroi serveri, pyesni sys.dm_exec_connections për sesionin aktual, që kthen adresën e klientit pas çdo përkthimi. Nëse ajo vlerë është portë dhe jo laptopi, një rregull hosti për përdorues nuk mund të funksionojë në makinën e bazës së të dhënave. Shkruani vlerën e vëzhguar pranë modelit të zgjedhur, sepse rilidhjet dhe ndryshimet e pishinës e zhvendosin.

Hapni dëgjuesin dhe asgjë më shumë

Hapni vetëm shërbimin që i nevojitet vendosjes. 1433 i njohur është porta e instancës parazgjedhur, jo një konstante universale.

Get-NetTCPConnection -State Listen -LocalPort 1433

Instancat e emërtuara shpesh dëgjojnë në një portë dinamike, me SQL Server Browser që përgjigjet për zbulimin në UDP 1434, dhe kjo varësi është një ekspozim i veçantë që duhet justifikuar. Fiksimi i një porte fikse për instancën heq nevojën për Browser dhe i bën rregullat e murit të zjarrit të qëndrueshme. Mbani kontrollet e kriptimit dhe certifikatave që klienti kryen tashmë, në vend që t'i çaktivizoni për të kaluar një test. Pastaj jepni role të bazës së të dhënave për ngarkesën, në vend që të shtoni të gjithë grupin VPN në një rol serveri.

Provoni rrugën e lejuar dhe atë të refuzuar

Hapni një sesion të ri si përdorues i zakonshëm i miratuar, dhe konfirmoni identitetin e serverit, bazën e të dhënave dhe operacionin e kërkuar. Pastaj konfirmoni përjashtimin: një burim ose llogari jashtë politikës duhet të dështojë në të njëjtin test. Për modelin me stacion pune, verifikoni që laptopi nuk mund të anashkalojë kufirin duke arritur drejtpërdrejt bazën e të dhënave. Për aksesin e drejtpërdrejtë, verifikoni që rruga dhe rregulli i burimit vlejnë ende pas një rilidhjeje.

Regjistroni ku ekzekutoi klienti, cilin burim vëzhgoi baza e të dhënave dhe cili rregull e lejoi. Kjo është prova që do të kërkojë rishikimi i radhës.