Коју адресу види облачни заштитни зид када је ваш VPN укључен
Пун тунел мења изворну адресу коју види ваша база података. Преместите листу дозвола, приватну путању или подељени тунел, а не податке за пријаву.
База података која ради пре повезивања VPN-а и отказује после тога ретко је проблем са подацима за пријаву. Облачни заштитни зидови пореде изворне адресе, а пун тунел замењује управо ону коју су поредили. Разлика између онога што мислите да ваш лаптоп шаље и онога што сервер прима јесте цела грешка и може се измерити у једном кораку.
Шта постаје изворна адреса
У пуном тунелу сваки пакет излази кроз VPN мрежни пролаз, па сервер види излазну адресу пролаза, а не вашу кућну везу. Ако је на путу напредни прокси, пристиже његова адреса. Оба су легитимни извори и ниједан није адреса из вашег првобитног правила.
Правила заштитног зида Azure SQL на нивоу сервера и на нивоу базе података пореде адресу клијента која стиже до логичког сервера, а после пуног тунела то је излазна адреса. AWS сигурносна група која дозвољава једну адресу понаша се исто. Пакет се одбацује пре аутентификације, па грешка коју добијете изгледа као мрежни квар, а не као проблем са дозволама. Управо зато људи почињу да ресетују лозинке.
Где се одлучује листа дозвола
Прочитајте правило које одговара путањи која отказује, а не правило које се сећате да сте направили. Забележите његов обим, порт, протокол и да ли се процењује пре било какве провере идентитета.
Затим одлучите који слој легитимно поседује ту одлуку. Правило адресе одговара одакле саобраћај долази. Приватна крајња тачка одговара да ли је услуга уопште доступна преко приватне путање. Изузетак за подељени тунел одговара које дестинације заобилазе тунел. Она нису замењива и свако отказује другачије када се тунел промени.
Три поправке, три слоја
Свака опција испод поправља ток из другог разлога, а погрешан избор даје везу која ради до следеће промене пролаза.
| Repair | Layer it changes | What it does not fix |
|---|---|---|
| Add the egress address to the rule | Source address matching | Nothing about routing, and it breaks when the egress moves |
| Use a private endpoint | Whether the service is reached privately | A client that still resolves the public name |
| Add a split-tunnel exception | Which flows bypass the tunnel | An expired credential or a wrong password |
Додавање излазне адресе је најмања промена и најкрхкија, јер нови пролаз или други регион тихо је поништава. Документујте адресу поред дефиниције тунела да се обе крећу заједно. Привремени широки опсег је дијагностика, а не поправка; његово остављање на месту је начин на који унутрашње услуге завршавају изложене.
Зашто управљана платформа не може да се придружи тунелу
Апликационе платформе као што су Heroku, AppHarbor или CloudBees покрећу ваш код у окружењу без tun или tap уређаја и без привилегија да га створе. Њихов модел улаза је HTTP, а не произвољни сокет који слуша. Грађевни пакет који доставља VPN бинарни фајл и даље нема где да стави интерфејс. Обрасци који раде су статична излазна адреса коју база података може да дозволи, производ за приватну везу који платформа нуди или прокси у DMZ-у доступан преко HTTPS-а.
Тај прокси је путања приступа са сопственом аутентификацијом и евидентирањем. Он не чини платформу чланом вашег VPN-а, а такав опис ствара правила која нико не може да ревидира.
Проверите са клијента који је отказао
Поново се повежите и поновите тачну путању клијента. Проверите изворну адресу коју услуга бележи, руту коју клијент бира за име базе података и резултат стварног упита, тим редом. Тест са пролаза доказује да пролаз ради, што никада није било спорно. Ако се веза сада аутентификује, а упит и даље отказује, преостали проблем је дозвола у бази података.
Прегледајте ова правила сваки пут када се тунел промени. Замењен пролаз или нови опсег излазних адреса прекида путању без икакве промене у конфигурацији апликације.