Да ли комерцијални VPN блокира порт 5432? Упоредите опције

Апликација је сваког дана разговарала са својом базом података из канцеларије. Затим је неко укључио комерцијални VPN клијент на истом лаптопу и веза је почела да се ресетује након руковања. Ништа у апликацији није промењено, тунел пријављује да је здрав, а заштитни зид који контролишете нема правило блокирања. Оно што се променило је излазна путања: сервери провајдера су дељене завршне тачке високог обима, а провајдери филтрирају одлазне портове да смање злоупотребу. Портови база података и слања поште добијају највећи део тога, јер су то портови који привлаче скенирање и спам из анонимног скупа адреса.

Тест од пет минута који раздваја филтрирање од свега осталог

Са истог строја проверите један порт који мора бити отворен и порт који закаже, на истом хосту, са укљученим па искљученим тунелом. Користите исту команду у оба случаја како би једина променљива био тунел:

Test-NetConnection db.example.com -Port 443
Test-NetConnection db.example.com -Port 5432
nc -vz -w3 db.example.com 5432

Четири исхода покривају скоро сваки случај. Ако 443 ради, а 5432 закаже само са укљученим тунелом, гледате филтрирање портова на излазној путањи. Ако оба закажу са тунелом и оба раде без њега, проблем је у рутирању или DNS-у, а не у политици портова. Ако се оба порта повежу али апликација и даље закаже, грешка је у аутентификацији или TLS-у, не у доступности. А ако закаже само једна локација сервера провајдера, то је политика по серверу, па пробајте другу локацију пре него што дирате било коју конфигурацију.

Опција један: split тунел за подмрежу базе података

Ако лаптопу комерцијални VPN треба само за друге сврхе, искључите распон адреса базе података из тунела тако да саобраћај никада не уђе на дељени излаз. Ово је најчистија опција када две путање заиста не треба да се сретну, и не кошта ништа осим правила рутирања које можете документовати. Компромис је у томе што split тунел уводи другу површину политике: оно што је искључено из тунела мора бити намерно, а не нуспојава подмреже коју је неко додао касније.

Престаје да ради у тренутку када база података живи унутар мреже до које VPN треба да стигне, па то проверите пре него што се определите.

Опција два: ваша завршна тачка, ваш излаз

Покретање мале VPN завршне тачке на VPS-у ставља излазну политику под вашу контролу и не укључује дељени скуп. То је опција коју вреди искрено упоредити са комерцијалним клијентом: добијате предвидљиву изворну адресу и губите глобални отисак и удобност провајдера. За тим коме су портови базе података и поште потребни цео дан, компромис обично иде у корист поседовања завршне тачке, јер начин неуспеха постаје ваша сопствена погрешна конфигурација, а не туђа политика злоупотребе.

Упоредите их по стабилности изворне адресе, по томе коме је доступан ваш саобраћај и по томе шта се дешава на дан када провајдер завршне тачке промени сопствено филтрирање.

Опција три: изместите лаптоп из путање

CI посао, заказани контејнер или бастион хост унутар дозвољене мреже не зависе од тунелског стања човека. Дођите до базе података SSH тунелом са хоста који је већ дозвољен и лаптоп никада не разговара директно са портом. Ово је опција која скалира када више људи удари у исто ограничење, а и она која уклања проблем уместо да га обилази.

Захтева више рада унапред од правила split тунела и не помаже оној једној особи којој је интерактивна сесија потребна сада.

Зашто је додавање адресе провајдера на листу дозвољених погрешно поређење

Додавање излазне адресе провајдера на листу дозвољених за базу података функционише и такође даје приступ сваком другом претплатнику који у том тренутку дели ту адресу. За реплику само за читање иза уско додељеног рачуна апликације, изложеност би могла бити подношљива један дан. За све што је уписиво то није компромис вредан имена, а ротирајуће излазне адресе погоршавају ствар: свака промена сервера крши правило, а одржавање позива широке CIDR уносе који поништавају сврху листе дозвољених.

Наменске или статичне адресе, тамо где их провајдер продаје, једина су верзија овога која скалира. Вежите листу дозвољених за адресу која је само ваша, или је не вежите уопште.

Шта год одабрали, запишите путању и разлог. Следећа особа ће срести исту везу која се ресетује и почеће да криви апликацију.