Cilën adresë sheh një firewall cloud kur VPN-ja juaj është ndezur
Një tunel i plotë ndryshon adresën burimore që sheh baza e të dhënave tuaj. Zhvendosni listën e lejeve, rrugën private ose tunelin e ndarë, jo kredencialet.
Një bazë të dhënash që punon përpara se të lidhet VPN-ja dhe dështon pas saj rrallë është problem kredencialesh. Firewall-et cloud krahasojnë adresa burimore, dhe një tunel i plotë zëvendëson pikërisht atë që po krahasojnë. Dallimi mes asaj që mendoni se dërgon laptopi juaj dhe asaj që merr serveri është i gjithë defekti, dhe matet në një hap të vetëm.
Në çfarë bëhet adresa burimore
Në një tunel të plotë, çdo paketë del përmes portës VPN, kështu që serveri sheh adresën e daljes së portës dhe jo lidhjen tuaj të shtëpisë. Nëse në rrugë ndodhet një proxy përpara, ajo që arrin është adresa e tij. Të dyja janë burime legjitime, dhe asnjëra nuk është adresa në rregullin tuaj origjinal.
Rregullat e firewall-it të Azure SQL në nivel serveri dhe në nivel baze të dhënash krahasojnë adresën e klientit që arrin te serveri logjik, e cila pas një tuneli të plotë është adresa e daljes. Një grup sigurie i AWS që lejon një adresë të vetme sillet njësoj. Paketa hidhet përpara autentikimit, kështu që gabimi që merrni duket si dështim rrjeti dhe jo si problem lejesh. Pikërisht për këtë njerëzit fillojnë të rivendosin fjalëkalimet.
Ku vendoset lista e lejeve
Lexoni rregullin që përputhet me rrugën që dështon, jo rregullin që ju kujtohet se e krijuat. Vini re shtrirjen e tij, portin, protokollin dhe nëse vlerësohet përpara çdo kontrolli identiteti.
Më pas vendosni cila shtresë e zotëron ligjërisht vendimin. Një rregull adrese përgjigjet se nga vjen trafiku. Një pikë fundore private përgjigjet nëse shërbimi është i arritshëm fare përmes një rruge private. Një përjashtim i tunelit të ndarë përgjigjet se cilat destinacione e anashkalojnë tunelin. Ato nuk janë të këmbyeshme, dhe secili dështon ndryshe kur tuneli ndryshon.
Tre riparime, tre shtresa
Çdo opsion më poshtë e rregullon rrjedhën për një arsye tjetër, dhe zgjedhja e gabuar prodhon një lidhje që punon deri në ndryshimin e ardhshëm të portës.
| Repair | Layer it changes | What it does not fix |
|---|---|---|
| Add the egress address to the rule | Source address matching | Nothing about routing, and it breaks when the egress moves |
| Use a private endpoint | Whether the service is reached privately | A client that still resolves the public name |
| Add a split-tunnel exception | Which flows bypass the tunnel | An expired credential or a wrong password |
Shtimi i adresës së daljes është ndryshimi më i vogël dhe më i brishtë, sepse një portë e re ose një rajon tjetër e bëjnë të pavlefshme në heshtje. Dokumentoni adresën pranë përcaktimit të tunelit që të dyja të lëvizin së bashku. Një interval i gjerë i përkohshëm është diagnostikim, jo riparim; lënia e tij në vend është mënyra se si shërbimet e brendshme përfundojnë të ekspozuara.
Pse një platformë e menaxhuar nuk mund t’i bashkohet tunelit
Platformat e aplikacioneve si Heroku, AppHarbor ose CloudBees e ekzekutojnë kodin tuaj në një mjedis pa pajisje tun ose tap dhe pa privilegje për të krijuar një. Modeli i tyre i hyrjes është HTTP dhe jo një socket dëgjimi arbitrar. Një buildpack që sjell një binar VPN vazhdon të mos ketë ku të vendosë ndërfaqen. Modelet e zbatueshme janë një adresë daljeje statike që baza e të dhënave mund të lejojë, një produkt lidhjeje private që ofron platforma, ose një proxy në një DMZ që arrihet përmes HTTPS.
Ai proxy është një rrugë aksesi me autentikimin dhe regjistrimin e vet. Nuk e bën platformën anëtare të VPN-së tuaj, dhe përshkrimi i tillë prodhon rregulla që askush nuk mund t’i auditojë.
Verifikoni nga klienti që dështoi
Rilidhuni dhe përsërisni rrugën e saktë të klientit. Kontrolloni adresën burimore që regjistron shërbimi, rrugën që zgjedh klienti për emrin e bazës së të dhënave, dhe rezultatin e pyetjes aktuale, në këtë rend. Një provë nga porta vërteton se porta punon, gjë që nuk u vu kurrë në dyshim. Nëse lidhja tani autentikohet dhe pyetja vazhdon të dështojë, problemi i mbetur është leja e bazës së të dhënave.
Rishikoni këto rregulla sa herë që ndryshon tuneli. Një portë e zëvendësuar ose një interval i ri daljeje e thyejnë rrugën pa asnjë ndryshim në konfigurimin e aplikacionit.