Blockerar ett kommersiellt VPN port 5432? Jämför dina alternativ

Programmet pratade med sin databas från kontoret varje dag. Sedan slog någon på den kommersiella VPN-klienten på samma laptop, och anslutningen började återställas efter handskakningen. Inget i programmet ändrades, tunneln rapporterar att den är frisk, och brandväggen du kontrollerar har ingen blockeringsregel. Det som ändrades är utgångsvägen: leverantörens servrar är delade slutpunkter med hög trafik, och leverantörer filtrerar utgående portar för att minska missbruk. Databas- och e-postutskicksportar får det mesta, eftersom det är de portarna som drar till sig skanning och skräppost från en anonym adresspool.

Femminuterstestet som skiljer filtrering från allt annat

Från samma maskin, undersök en port som måste vara öppen och porten som misslyckas, på samma värd, med tunneln på och sedan av. Använd samma kommando båda gångerna så att den enda variabeln är tunneln:

Test-NetConnection db.example.com -Port 443
Test-NetConnection db.example.com -Port 5432
nc -vz -w3 db.example.com 5432

Fyra utfall täcker nästan alla fall. Om 443 fungerar och 5432 bara misslyckas med tunneln på, ser du portfiltrering på utgångsvägen. Om båda misslyckas med tunneln på och båda fungerar utan, är problemet routing eller DNS, inte portpolicy. Om båda portarna ansluter men programmet ändå misslyckas, ligger felet i autentisering eller TLS, inte i nåbarhet. Och om bara en av leverantörens serverplatser misslyckas, är det policy per server, så prova en annan plats innan du rör någon konfiguration.

Alternativ ett: delad tunnel för databassubnätet

Om laptopen bara behöver det kommersiella VPN:et för andra ändamål, uteslut databasens adressområde från tunneln så att trafiken aldrig kommer in i den delade utgången. Detta är det renaste alternativet när de två vägarna verkligen inte behöver mötas, och det kostar inget utöver en routingregel du kan dokumentera. Avvägningen är att delad tunnel inför en andra policyyta: det som utesluts från tunneln måste vara avsiktligt, inte en bieffekt av ett subnät som någon lade till senare.

Det slutar fungera i samma ögonblick som databasen ligger inne i nätverket som VPN:et ska nå, så kontrollera det innan du binder dig.

Alternativ två: din egen slutpunkt, din egen utgång

Att köra en liten VPN-slutpunkt på en VPS ger dig kontroll över utgångspolicyn, och ingen delad pool är inblandad. Detta är alternativet som är värt en ärlig jämförelse med den kommersiella klienten: du vinner en förutsägbar källadress och förlorar leverantörens globala närvaro och bekvämlighet. För ett team som behöver databas- och e-postportar hela dagen faller avvägningen oftast ut till fördel för att äga slutpunkten, eftersom felläget blir din egen felkonfiguration i stället för någon annans missbrukspolicy.

Jämför de två på källadressens stabilitet, på vem som kan läsa din trafik, och på vad som händer den dag leverantören av slutpunkten ändrar sin egen filtrering.

Alternativ tre: ta bort laptopen ur vägen

Ett CI-jobb, en schemalagd container eller en bastionvärd inne i det tillåtna nätverket beror inte på en människas tunnelstatus. Nå databasen via SSH-tunnel från en värd som redan är tillåten, och laptopen talar aldrig direkt med porten. Detta är alternativet som skalar när flera personer träffar samma begränsning, och det är också det som tar bort problemet i stället för att dirigera runt det.

Det kräver mer arbete i förväg än en delad tunnelregel, och det hjälper inte den enda personen som behöver en interaktiv session just nu.

Varför det är fel jämförelse att sätta leverantörens adress på en tillåtelselista

Att lägga leverantörens utgångsadress till en databastillåtelselista fungerar, och det ger också åtkomst till alla andra abonnenter som delar den adressen i det ögonblicket. För en skrivskyddad replik bakom ett snävt tilldelat programkonto kan exponeringen vara acceptabel i en dag. För något skrivbart är det inte en avvägning värd ett namn, och roterande utgångsadresser gör det värre: varje serverbyte bryter regeln, och underhållet bjuder in breda CIDR-poster som omintetgör syftet med en tillåtelselista.

Dedikerade eller statiska adresser, där leverantören säljer dem, är den enda versionen av detta som skalar. Lås tillåtelselistan till en adress som bara är din, eller lås den inte alls.

Vad du än väljer, skriv ner vägen och skälet. Nästa person kommer att möta samma återställda anslutning och börja skylla på programmet.