Je, VPN ya kibiashara inazuia bandari 5432? Linganisha chaguo lako

Programu ilizungumza na hifadhidata yake kutoka ofisini kila siku. Kisha mtu akawasha mteja wa VPN wa kibiashara kwenye laptop hiyo hiyo, na muunganisho ukaanza kuweka upya baada ya kupeana mkono. Hakuna kilichobadilika katika programu, handaki inaripoti kuwa nzuri, na firewall unayodhibiti haina sheria yoyote ya kuzuia. Kilichobadilika ni njia ya kutoka: seva za mtoa huduma ni vituo vya mwisho vinavyoshirikiwa vyenye trafiki kubwa, na watoa huduma huchuja bandari za kutoka ili kupunguza matumizi mabaya. Bandari za hifadhidata na za kutuma barua pepe hupata sehemu kubwa, kwa sababu ndizo bandari zinazovutia uchunguzi na barua taka kutoka kwa bwawa la anwani lisilojulikana.

Jaribio la dakika tano linalotenganisha uchujaji na kila kitu kingine

Kutoka kwa mashine hiyo hiyo, chunguza bandari moja inayopaswa kuwa wazi na bandari inayoshindwa, kwenye mwenyeji huyo huyo, huku handaki ikiwa imewashwa na kisha kuzimwa. Tumia amri hiyo hiyo mara mbili ili kigezo pekee kiwe handaki:

Test-NetConnection db.example.com -Port 443
Test-NetConnection db.example.com -Port 5432
nc -vz -w3 db.example.com 5432

Matokeo manne hufunika karibu kila kisa. Ikiwa 443 inafanya kazi na 5432 inashindwa tu wakati handaki imewashwa, unaona uchujaji wa bandari kwenye njia ya kutoka. Ikiwa zote mbili zinashindwa wakati handaki imewashwa na zote mbili zinafanya kazi bila hiyo, tatizo ni uelekezaji au DNS, si sera ya bandari. Ikiwa bandari zote mbili zinaunganisha lakini programu bado inashindwa, kosa ni uthibitishaji au TLS, si ufikivu. Na ikiwa eneo moja tu la seva la mtoa huduma linashindwa, ni sera kwa kila seva, kwa hivyo jaribu eneo lingine kabla ya kugusa usanidi wowote.

Chaguo la kwanza: handaki iliyogawanywa kwa subneti ya hifadhidata

Ikiwa laptop inahitaji VPN ya kibiashara kwa madhumuni mengine tu, tenga safu ya anwani ya hifadhidata na handaki ili trafiki isiingie kamwe kwenye njia ya pamoja ya kutoka. Hili ni chaguo safi zaidi wakati njia hizo mbili hazihitaji kukutana kwa kweli, na haina gharama yoyote zaidi ya sheria ya uelekezaji unayoweza kuandika. Biashara ni kwamba handaki iliyogawanywa inaleta uso wa pili wa sera: kile kinachotengwa na handaki lazima kiwe cha kukusudia, si athari ya pembeni ya subneti ambayo mtu aliongeza baadaye.

Inaacha kufanya kazi wakati hifadhidata inakaa ndani ya mtandao ambao VPN inapaswa kufikia, kwa hivyo angalia hilo kabla ya kujitolea.

Chaguo la pili: kituo chako cha mwisho, njia yako ya kutoka

Kuendesha kituo kidogo cha VPN kwenye VPS kunakuweka katika udhibiti wa sera ya kutoka, na hakuna bwawa la pamoja linalohusika. Hili ndilo chaguo linalostahili kulinganishwa kwa uaminifu na mteja wa kibiashara: unapata anwani ya chanzo inayotabirika na unapoteza alama ya kimataifa na urahisi wa mtoa huduma. Kwa timu inayohitaji bandari za hifadhidata na barua pepe siku nzima, biashara kawaida huelekea upande wa kumiliki kituo cha mwisho, kwa sababu hali ya kushindwa inakuwa usanidi wako mbaya mwenyewe na si sera ya matumizi mabaya ya mtu mwingine.

Linganisha hizo mbili kwa uthabiti wa anwani ya chanzo, kwa nani anaweza kusoma trafiki yako, na kwa kile kinachotokea siku ambayo mtoa huduma wa kituo cha mwisho anabadilisha uchujaji wake mwenyewe.

Chaguo la tatu: toa laptop nje ya njia

Kazi ya CI, kontena iliyopangwa, au mwenyeji wa bastion ndani ya mtandao unaoruhusiwa haitegemei hali ya handaki ya mtu. Fikia hifadhidata kupitia handaki ya SSH kutoka kwa mwenyeji ambaye tayari ameruhusiwa, na laptop haizungumzi kamwe moja kwa moja na bandari. Hili ndilo chaguo linalokua wakati watu kadhaa wanakumbana na kizuizi kimoja, na pia ndilo linaloondoa tatizo badala ya kulizunguka.

Inahitaji kazi zaidi mapema kuliko sheria ya handaki iliyogawanywa, na haimsaidii mtu mmoja anayehitaji kipindi shirikishi sasa hivi.

Kwa nini kuweka anwani ya mtoa huduma kwenye orodha ya kuruhusiwa ni ulinganisho mbaya

Kuongeza anwani ya kutoka ya mtoa huduma kwenye orodha ya kuruhusiwa ya hifadhidata kunafanya kazi, na pia kunampa ufikiaji kila mteja mwingine anayeshiriki anwani hiyo wakati huo. Kwa nakala ya kusoma tu nyuma ya akaunti ya programu iliyotolewa kwa ufinyu, mfiduo unaweza kuvumilika kwa siku moja. Kwa kitu chochote kinachoweza kuandikwa hii si biashara inayostahili jina, na anwani za kutoka zinazozunguka huifanya kuwa mbaya zaidi: kila mabadiliko ya seva huvunja sheria, na matengenezo yanakaribisha maingizo mapana ya CIDR yanayoharibu madhumuni ya orodha ya kuruhusiwa.

Anwani maalum au thabiti, ambapo mtoa huduma huziuza, ndizo toleo pekee la hili linalokua. Funga orodha ya kuruhusiwa kwa anwani ambayo ni yako pekee, au usiifunge kabisa.

Chochote unachochagua, andika njia na sababu. Mtu anayefuata atakutana na muunganisho huo huo unaowekwa upya na ataanza kulaumu programu.