SQL преко VPN-а: директни клијент или интерна радна станица?

Тимови желе SSMS на својим лаптопима, а брзо решење је објављивање SQL порта у VPN базен. Спорији одговор пита где клијентски процес треба да се извршава, јер директан приступ и интерна радна станица стварају различите адресе извора, поверење крајње тачке и путање података. Ниједна није аутоматски безбедна, а само чланство у VPN-у не одлучује ништа. Упоредите пројекте пре него што постоји правило дозволе.

Две путање, две адресе извора

Код директног приступа лаптоп носи клијентску конфигурацију и сам отвара везу са базом података. Код удаљене радне станице лаптоп отвара сесију радне површине, а радна станица успоставља SQL везу са своје адресе. База података зато у првом пројекту види VPN базен или преведени пролаз, а у другом адресу радне станице. Та разлика одлучује које правило заштитног зида и која SQL дозвола заиста важе.

Лаптоп и даље контролише удаљену сесију, па радна станица не замењује аутентикацију корисника или политику сесије.

Проверите шта база података заиста види

Адреса извора се мери, а не закључује из дијаграма. Прочитајте је на страни сервера активне везе.

Test-NetConnection sql.example.com -Port 1433
sqlcmd -S tcp:sql.example.com,1433 -N -d appdb -Q "select SUSER_SNAME() as login_name, DB_NAME() as db"

Тест повезивања доказује да пријемник прихвата TCP из те мреже, док упит доказује којем пријављивању и којој бази података је сесија стигла. Да бисте видели адресу коју је сервер забележио, упитајте sys.dm_exec_connections за тренутну сесију, што враћа адресу клијента након сваког превода. Ако је та вредност пролаз, а не лаптоп, правило домаћина по кориснику не може да ради на машини са базом података. Запишите запажену вредност поред изабраног пројекта, јер поновна повезивања и промене базена је померају.

Отворите пријемник и ништа више

Отворите само услугу која је потребна распоређивању. Познати 1433 је порт подразумеване инстанце, а не универзална константа.

Get-NetTCPConnection -State Listen -LocalPort 1433

Именоване инстанце често слушају на динамичком порту, а SQL Server Browser одговара на откривање преко UDP 1434, и та зависност је посебно излагање које треба оправдати. Фиксирање сталног порта за инстанцу уклања потребу за Browser-ом и чини правила заштитног зида стабилним. Задржите провере шифровања и сертификата које клијент већ обавља, уместо да их искључите да би тест прошао. Затим доделите улоге базе података за радно оптерећење, уместо да целу VPN групу додате у серверску улогу.

Докажите дозвољену путању и забрањену

Отворите нову сесију као обичан одобрени корисник и потврдите идентитет сервера, базу података и потребну операцију. Затим потврдите искључење: извор или налог ван политике мора да не прође исти тест. За пројекат са радном станицом, проверите да лаптоп не може да заобиђе границу директним доласком до базе. За директан приступ, проверите да рута и правило извора и даље важе након поновног повезивања.

Запишите где је клијент радио, који извор је база података приметила и које правило је то дозволило. То су докази које ће следећи преглед тражити.