உள்ளூர் தரவுத்தள வாடிக்கையாளர் மற்றும் தனியார் RDS: இணைப்பு ஏன் நேரம் முடிகிறது

ஒரு உருவாக்குநரின் மடிக்கணினி தனியார் RDS இறுதி முனைக்கு இணைக்கும்போது நேரம் முடிகிறது, அதே சான்றுகள் பாஸ்டியன் புரவலனில் இருந்து வேலை செய்கின்றன. எதுவும் விழவில்லை. அந்த மடிக்கணினிக்கும் தரவுத்தளத்திற்கும் இடையிலான வழியில் மூன்றில் ஒன்று குறைவாக உள்ளது: தீர்க்கப்படும் பெயர், போக்குவரத்தைச் சுமக்கும் வழி, அல்லது தரவுத்தளம் உண்மையில் காணும் மூலத்தை அனுமதிக்கும் பாதுகாப்புக் குழு விதி. மற்ற இரண்டை மாற்றுவதற்கு முன் எது குறைவு என்பதைக் கண்டறியுங்கள்.

சரியான அடுக்கில் தோல்வியைப் படியுங்கள்

நேரம் முடிவது ஒரே பிழை அல்ல. தீர்க்கப்படாத பெயர் பாக்கெட் இயந்திரத்தை விட்டு வெளியேறும் முன் தோல்வியடைகிறது. வழியற்ற முகவரி பாக்கெட்டுகளை கருங்குழிக்கு அனுப்புகிறது. வடிகட்டப்பட்ட துறைமுகம் தவறான புரவலனைப் போலவே தோன்றும் காத்திருப்பை உருவாக்குகிறது. படிகளை வரிசையாக இயக்கி முதல் தோல்வியடையும் படியில் நிறுத்துங்கள்.

dig +short db.internal.example
nc -vz db.internal.example 5432

பெயர் பொது முகவரியைத் திருப்பினால், அல்லது எதையும் திருப்பவில்லை என்றால், சுரங்கப்பாதை இன்னும் பிரச்சினை அல்ல.

பெயர் தீர்க்கப்பட்டு துறைமுகச் சோதனை தொங்கினால், நீங்கள் தீர்த்த முகவரியை தரவுத்தளம் தெரிவிக்கும் முகவரியுடன் ஒப்பிடுங்கள். நிர்வகிக்கப்பட்ட இறுதி முனை VPC உள்ளே தனியார் முகவரியாகவும் வெளியே பயனுள்ள எதற்கும் இல்லாமலும் தீர்க்கப்படலாம், பழைய தேடலில் இருந்து நகலெடுக்கப்பட்ட முகவரி இனி பதிலளிக்காத புரவலனைச் சுட்டும்.

சுரங்கப்பாதையை வழியிலிருந்து பிரிக்கவும்

வாடிக்கையாளர் VPN இணைப்பது ஒவ்வொரு தனியார் வரம்பையும் தானாக வழிப்படுத்தாது. சுயவிவரம் சேவை தள்ளும் வழிகளைச் சுமக்கிறது, வாடிக்கையாளர் அவற்றில் சிலவற்றை மட்டுமே நிறுவலாம். வாடிக்கையாளர் உண்மையில் எந்த வரம்புகளைச் சேர்த்தார், தரவுத்தள முகவரி அவற்றில் ஒன்றுக்குள் வருகிறதா என்பதைப் பாருங்கள்.

ip route get 10.20.40.15
ip addr show tun0

சுரங்கப்பாதை இடைமுகத்தை நோக்கிய வழி அவசியம்; அது போதாது, ஏனெனில் எதிர்ப்பக்கம் இன்னும் போக்குவரத்தை ஏற்க வேண்டும்.

பிளவு சுரங்கப்பாதை சுயவிவரங்கள் இந்தப் பாதி தோல்வியின் வழக்கமான மூலம். அவை சுயவிவரம் வடிவமைக்கப்பட்ட பயன்பாட்டிற்கு வேலை செய்கின்றன, தரவுத்தள வரம்பை சுரங்கப்பாதைக்கு வெளியே விடுகின்றன, இது ஃபயர்வால் உருவாக்கும் அதே நேர முடிவை உருவாக்குகிறது.

பாதுகாப்புக் குழுவை உண்மையான மூலத்துடன் பொருத்துங்கள்

RDS பாதுகாப்புக் குழு மக்களை அல்ல, மூலங்களை அனுமதிக்கிறது. கட்டமைப்பைப் பொறுத்து மூலம் VPN வாடிக்கையாளர் குளம், பாஸ்டியனின் தனியார் முகவரி, அல்லது போக்குவரத்து மொழிபெயர்க்கப்படும் NAT முகவரியாக இருக்கலாம். விதியையும் பாக்கெட்டின் உண்மையான மூலத்தையும் சேர்த்து படியுங்கள்.

aws ec2 describe-security-groups --group-ids sg-0123456789abcdef0 \
  --query 'SecurityGroups[].IpPermissions'

ஒரு மடிக்கணினியின் வீட்டு முகவரிக்கான விதி அணுகல் வடிவமைப்பு அல்ல, பராமரிப்புப் பிரச்சினை.

வழியில் வாடிக்கையாளர் VPN அல்லது NAT நுழைவாயில் இருந்தால், தரவுத்தளம் உருவாக்குநரின் சுரங்கப்பாதை முகவரிக்குப் பதிலாக மொழிபெயர்ப்பாளரின் முகவரியைக் காணலாம். அதனால்தான் வேலை செய்யும் பாஸ்டியன் அமைப்பிலிருந்து நகலெடுத்த விதி மடிக்கணினிக்கு தோல்வியடையலாம்: இரு வழிகளும் வெவ்வேறு மூலங்களிலிருந்து வருகின்றன, இரண்டும் உள்ளார்ந்ததாகத் தோன்றினாலும்.

அகலமான வழியை விட குறுகிய வழியை விரும்புங்கள்

ஒரு உருவாக்குநருக்கு ஒரு தரவுத்தளம் தேவைப்படும்போது, அமர்வு அடிப்படையிலான அனுப்புதல் முழு வலையமைப்பு சுரங்கப்பாதையை விட இயக்க மலிவாக இருக்கும். உள்ளூர் வாடிக்கையாளர் அனுப்பப்பட்ட துறைமுகத்துடன் இணைகிறது, தொலைவு கூறு வலையமைப்பின் உள்ளிருந்து தரவுத்தள இணைப்பை உருவாக்குகிறது.

ssh -N -L 5432:db.internal.example:5432 bastion.internal.example

அந்த வடிவமைப்பில் TLS சரிபார்ப்பை அப்படியே வைத்திருங்கள். வாடிக்கையாளர் எதிர்பார்க்கும் பெயருக்கு எதிராக சேவையகச் சான்றிதழை இன்னும் சரிபார்க்க வேண்டும்; உள்ளூர் அனுப்பப்பட்ட துறைமுகம் சரிபார்ப்பை அணைப்பதற்கான காரணம் அல்ல, அதை அணைப்பது பிடிக்கத் தகுந்த அடையாளச் சிக்கலைத் தான் மறைக்கிறது.

முழு சுரங்கப்பாதைக்கும் குறுகிய அனுப்புதலுக்கும் இடையிலான தேர்வு பாதுகாப்பு நாடகம் அல்ல, நோக்கத்தின் மீதான முடிவு.

பின்னால் மீண்டும் செய்யக்கூடிய வழியை விடுங்கள்

தீர்க்கப்பட்ட முகவரிக்குப் பதிலாக இறுதி முனையின் பெயர், பாதுகாப்புக் குழு அனுமதிக்கும் மூல வரம்பு, மற்றும் உருவாக்குநர் பயன்படுத்தும் தரவுத்தளப் பங்கு ஆகியவற்றைப் பதிவு செய்யுங்கள். இந்த மூன்று உண்மைகள் எதிர்காலத் தோல்விகளில் பெரும்பாலானவற்றை தொலைபேசி அழைப்பில்லாமல் விளக்குகின்றன. வாடிக்கையாளர் சுயவிவரப் பதிப்பையும் சேர்க்கவும், ஏனெனில் சுயவிவர மாற்றம் பழையது சுமந்த வழியை அகற்றக்கூடும்.

பின்னர் எதிர்மறை நிலையை ஒரு முறை சோதிக்கவும்: அனுமதிக்கப்பட்ட மூலத்திற்கு வெளியே உள்ள வாடிக்கையாளர் இன்னும் நிராகரிக்கப்பட வேண்டும்.

தன்னை அமைத்தவருக்கு மட்டுமே வேலை செய்யும் தனியார் தரவுத்தளம் தனியார் அணுகல் அல்ல; அது மீண்டும் கண்டுபிடிக்கப்படக் காத்திருக்கும் பதிவு செய்யப்படாத விதிவிலக்கு. வழியை எழுதி வையுங்கள், அடுத்த உருவாக்குநர் மர்மத்திற்குப் பதிலாக ஒரு முறையைப் பெறுவார்.