Kiteja cha hifadhidata cha ndani na RDS ya faragha: kwa nini muunganisho unakata

Laptopi ya msanidi programu inakata wakati inaunganisha kwenye kituo cha mwisho cha RDS cha faragha, ilhali vitambulisho hivyo hivyo hufanya kazi kutoka kwa mwenyeji bastion. Hakuna kinachoanguka. Njia kati ya laptoppi hiyo na hifadhidata inakosa kimoja kati ya vitatu: jina linalotatuliwa, njia inayobeba trafiki, au kanuni katika kikundi cha usalama inayoruhusu chanzo ambacho hifadhidata huona kweli. Gundua kipi kinakosekana kabla ya kubadilisha vingine viwili.

Soma kushindwa kwenye tabaka sahihi

Kukata wakati si hitilafu moja. Jina lisilotatuliwa hushindwa kabla pakiti haijaondoka kwenye mashine. Anwani isiyo na njia hutuma pakiti kwenye shimo jeusi. Bandari iliyochujwa huzalisha kusubiri kunakofanana kabisa na mwenyeji asiyefaa. Tekeleza hatua kwa mpangilio na usimame kwenye hatua ya kwanza inayoshindwa.

dig +short db.internal.example
nc -vz db.internal.example 5432

Ikiwa jina linarudisha anwani ya umma, au halirudishi chochote, handaki bado si tatizo.

Ikiwa jina linatatuliwa na jaribio la bandari linaning'inia, linganisha anwani uliyotatua na anwani ambayo hifadhidata inaripoti. Kituo cha mwisho kinachosimamiwa kinaweza kutatuliwa hadi anwani ya faragha ndani ya VPC na hadi chochote kisichofaa nje yake, na anwani iliyonakiliwa kutoka utafutaji wa zamani itaelekeza kwa mwenyeji asiyekujibu tena.

Tenganisha handaki na njia

Kuunganisha VPN ya kiteja hakuendeshi kiotomatiki kila masafa ya faragha. Profaili hubeba njia ambazo huduma inasukuma, na kiteja kinaweza kusakinisha baadhi tu. Angalia ni masafa gani kiteja kiliongeza kweli na kama anwani ya hifadhidata inaanguka ndani ya moja yao.

ip route get 10.20.40.15
ip addr show tun0

Njia inayoelekeza kwenye kiolesura cha handaki ni muhimu; haitoshi, kwa sababu upande wa pili bado unapaswa kukubali trafiki.

Profaili za handaki lililogawanywa ni chanzo cha kawaida cha kushindwa huku kwa nusu. Zinafanya kazi kwa programu ambayo profaili iliundwa kwa ajili yake na zinaacha masafa ya hifadhidata nje ya handaki, jambo linalozalisha kukata wakati kulekule ambako firewall ingezalisha.

Oanisha kikundi cha usalama na chanzo halisi

Kikundi cha usalama cha RDS huruhusu vyanzo, si watu. Kulingana na usanifu, chanzo kinaweza kuwa bwawa la wateja wa VPN, anwani ya faragha ya bastion, au anwani ya NAT ambayo trafiki hutafsiriwa kwenda. Soma kanuni na chanzo halisi cha pakiti pamoja.

aws ec2 describe-security-groups --group-ids sg-0123456789abcdef0 \
  --query 'SecurityGroups[].IpPermissions'

Kanuni ya anwani ya nyumbani ya laptopi moja ni tatizo la matengenezo, si ubunifu wa ufikiaji.

Wakati VPN ya kiteja au lango la NAT liko njiani, hifadhidata inaweza kuona anwani ya mtafsiri badala ya anwani ya handaki ya msanidi. Ndiyo sababu kanuni iliyonakiliwa kutoka usanidi wa bastion unaofanya kazi inaweza kushindwa kwa laptopi: njia hizo mbili zinatoka kwenye vyanzo tofauti ingawa zote zinaonekana za ndani.

Pendelea njia nyembamba kuliko pana

Wakati msanidi mmoja anahitaji hifadhidata moja, uelekezaji unaotegemea kipindi mara nyingi ni wa bei nafuu kuendesha kuliko handaki kamili la mtandao. Kiteja cha ndani huunganisha kwenye bandari iliyoelekezwa, na sehemu ya mbali hufanya muunganisho wa hifadhidata kutoka ndani ya mtandao.

ssh -N -L 5432:db.internal.example:5432 bastion.internal.example

Weka uthibitishaji wa TLS bila kuguswa katika ubunifu huo. Kiteja bado kinapaswa kuthibitisha cheti cha seva dhidi ya jina linalotarajia; bandari iliyoelekezwa ya ndani si sababu ya kuzima uthibitishaji, na kuuzima kunaficha hasa tatizo la utambulisho linalostahili kunaswa.

Uchaguzi kati ya handaki kamili na uelekezaji mwembamba ni uamuzi kuhusu wigo, si kuhusu tamthilia ya usalama.

Acha njia inayoweza kurudiwa

Andika jina la kituo cha mwisho badala ya anwani iliyotatuliwa, masafa ya chanzo ambayo kikundi cha usalama huruhusu, na jukumu la hifadhidata ambalo msanidi hutumia. Mambo haya matatu yanaeleza kushindwa kwingi kwa baadaye bila simu. Ongeza pia toleo la profaili ya kiteja, kwa sababu mabadiliko ya profaili yanaweza kuondoa njia ambayo ya zamani ilibeba.

Kisha jaribu kisa hasi mara moja: kiteja kilicho nje ya chanzo kilichoidhinishwa bado kinapaswa kukataliwa.

Hifadhidata ya faragha inayofanya kazi kwa mtu aliyeisimamisha tu si ufikiaji wa faragha; ni msamaha usioandikwa unaosubiri kugunduliwa tena. Andika njia, na msanidi anayefuata atarithi mbinu badala ya fumbo.