EC2 இல் இருந்து தனிப்பட்ட RDS: அதே VPC, peering அல்லது வேறு ஏதாவது?

உருவாக்குநரின் மடிக்கணினி பணியாளர் VPN வழியாக தனிப்பட்ட RDS நிகழ்வை அடைகிறது, ஆனால் EC2 இல் உள்ள பயன்பாடு சிறிதும் இணைக்க முடியவில்லை. இது உடைந்த வரிசைப்படுத்தல் அல்ல. மடிக்கணினியில் EC2 நிகழ்வு ஒருபோதும் மரபுரிமையாகப் பெறாத ஒரு சுரங்கப்பாதை உள்ளது, மேலும் RDS இல் «தனிப்பட்ட» என்றால் தரவுத்தளத்திற்கு பொது முனை இல்லை என்று பொருள், மனித VPN பயனர்கள் மட்டுமே அனுமதிக்கப்பட்ட அழைப்பாளர்கள் என்று அல்ல. பயன்பாட்டிற்கு அதன் சொந்த அங்கீகரிக்கப்பட்ட பாதை, பாதுகாப்புக் குழுவுடன் அதன் சொந்த உறவு மற்றும் தரவுத்தளத்தில் அதன் சொந்த அடையாளம் தேவை, இந்த மூன்றையும் நீங்கள் தேர்ந்தெடுக்கும் வரிசை பிழைத்திருத்தத்தின் பெரும்பகுதியைச் சேமிக்கிறது. முதலில் பாதையை முடிவு செய்யுங்கள், பின்னர் அனுமதிகளை, பின்னர் உங்கள் மேசையில் இருந்து அல்ல, வரிசைப்படுத்தப்பட்ட சூழலில் இருந்து சரிபார்க்கவும்.

மடிக்கணினியின் VPN பயன்பாட்டின் பாதை அல்ல

பணியாளர் VPN மக்களுக்கு என்ன செய்தாலும், அந்த நிகழ்வு அதே பிணையப் பாதையின் வெளிப்படையான பகுதியாக இல்லாவிட்டால் அது நிகழ்வுக்கு எதுவும் செய்யாது. தனியார் துணை வலையமைப்பில் உள்ள EC2 நிகழ்வு VPC வழிசெலுத்தல், பாதுகாப்புக் குழுக்கள் மற்றும் பிணைய ACL மூலம் RDS ஐ அடைகிறது. அது மனித சுரங்கப்பாதை, மனித அமர்வு அல்லது மனித சான்றுகளை மரபுரிமையாகப் பெறாது, பெறக்கூடாது: கண்காணிப்பில்லாத பயன்பாட்டு இணைப்பு மற்றும் பணியாளர்களின் தொலை அணுகல் தனித்தனியாக இயங்க வேண்டும்.

இந்த சுதந்திரம் ஒரு அம்சம். VPN செயலிழந்தால் பயன்பாடு தொடர்ந்து வேலை செய்கிறது. பயன்பாடு தவறாக நடந்தால் யாரும் தங்கள் தொலை அணுகலை இழக்க மாட்டார்கள். இரண்டையும் ஒரே பாதையில் இணைக்கும் வடிவமைப்புகள் பொதுவாக ஒரு சம்பவத்தின் போது, மிக மோசமான தருணத்தில் கண்டறியப்படுகின்றன.

முடிவு 1: அதே VPC, நேரடிப் பாதை

பயன்பாடும் தரவுத்தளமும் ஒரே VPC இல் நேரடி வழிசெலுத்தலுடன் மற்றும் அவற்றுக்கிடையே எந்த ஆய்வு இடைநிலை சாதனமும் இல்லாமல் இருக்கும்போது, பாதை எளிமையானது மற்றும் பாதுகாப்புக் குழு குறிப்பு கிடைக்கும் மிக சக்திவாய்ந்த கருவியாகும். பயன்பாட்டிற்கு அதன் சொந்தக் குழுவைக் கொடுங்கள், பின்னர் முகவரி வரம்பிலிருந்து அல்ல, அந்தக் குழுவிலிருந்து தரவுத்தள துறைமுகத்தை அனுமதிக்கவும்:

aws ec2 authorize-security-group-ingress --group-id sg-0db123   --protocol tcp --port 5432 --source-group sg-0app456

aws rds describe-db-instances --db-instance-identifier prod-db   --query 'DBInstances[0].{Endpoint:Endpoint.Address,Port:Endpoint.Port,Public:PubliclyAccessible,Groups:VpcSecurityGroups}'

துறைமுகம் ஒரு எடுத்துக்காட்டு மட்டுமே, அது இயந்திரத்துடன் பொருந்த வேண்டும். குழு குறிப்பு பயன்பாட்டு நிகழ்வுகளிலிருந்து போக்குவரத்தை அங்கீகரிக்கிறது; அது அவற்றின் விதிகளை நகலெடுக்காது, தரவுத்தள உள்நுழைவை உருவாக்காது. இரண்டு தனி சிக்கல்கள், இரண்டு தனி தீர்வுகள்.

பின்னர் நீங்கள் இப்போது சேர்த்த விதியில் நிற்காமல் பாதையின் மீதியைச் சரிபார்க்கவும். பயன்பாட்டின் வெளியேறும் கொள்கை, தரவுத்தளத்துடன் இணைக்கப்பட்ட குழுக்களின் முழு தொகுப்பு, துணை வலையமைப்பின் வழிசெலுத்தல் அட்டவணைகள் மற்றும் எந்த பிணைய ACL ஆகியவை அனைத்தும் ஒத்துப்போக வேண்டும். பாதுகாப்புக் குழு விதிகள் நிலையுடையவை, அதேசமயம் தனிப்பயன் பிணைய ACL கோரிக்கையையும் திரும்பும் போக்குவரத்தையும் தனித்தனி விதிகளில் அனுமதிக்க வேண்டும், தற்காலிக துறைமுகங்கள் உட்பட. புதிய குறுகிய தரவுத்தள விதி ஏற்கனவே இணைக்கப்பட்ட பழைய பரந்த அனுமதியையும் ரத்து செய்யாது.

முடிவு 2: வேறு VPC அல்லது வேறு கணக்கு

பயன்பாடு வேறு VPC இல் இருந்தால், பிணைய உரிமையாளர்கள் ஆதரிக்கப்படும் தனியார் இணைப்பைத் தேர்ந்தெடுக்கிறார்கள்: peering, போக்குவரத்து வடிவமைப்பு அல்லது பகிரப்பட்ட VPC ஏற்பாடு. பின்னர் வழிசெலுத்தலின் இரு திசைகளும் இருக்க வேண்டும், பெயர் தீர்வு RDS முனைக்கு வேலை செய்ய வேண்டும், மேலும் தரவுத்தளக் கொள்கை மதிப்பிடும் மூலம் உண்மையில் வருவதுடன் பொருந்த வேண்டும். கணக்குப் பெயர்கள் பொருந்துவது அல்லது பகிரப்பட்ட பில்லிங் உறவு இவற்றில் எதையும் வழங்காது.

பாதுகாப்புக் குழு குறிப்பு மாறுபடும் பகுதி. இது பல தனியார் இணைப்பு வடிவமைப்புகளில் வேலை செய்கிறது, ஆனால் ஒரு இடைநிலை சாதனம் மூலத்தை மீண்டும் எழுதும் அல்லது இணைப்பை முடிக்கும் தருணத்தில் வேலை செய்வதை நிறுத்துகிறது, ஏனெனில் அப்போது தரவுத்தளம் உங்கள் பயன்பாட்டுக் குழுவுக்குப் பதிலாக இடைநிலை சாதனத்தைப் பார்க்கிறது. RDS VPC சூழ்நிலைகள் ஒரே VPC இல் உள்ள அணுகலை மற்ற ஏற்பாடுகளிலிருந்து பிரிக்கின்றன, ஒரு விதி பாணி கடந்து செல்லும் என்று கருதுவதற்கு முன் உங்கள் குறிப்பிட்ட இடவியலை அவற்றுடன் சரிபார்க்க வேண்டும்.

காணாமல் போன பாதையை தரவுத்தளத்தை பொதுவில் அணுகக்கூடியதாக்கி தீர்க்க வேண்டாம். அது வேறு உரிமையாளருடன் வேறு வெளிப்பாடு முடிவு, மேலும் பொதுவாக விளைவிலிருந்து மிகத் தொலைவில் இருப்பவர் அதைப் பரிந்துரைக்கிறார்.

முடிவு 3: தரவுத்தளம் எந்த அடையாளத்தை ஏற்கிறது

பிணைய அணுகல் மற்றும் தரவுத்தள அங்கீகாரம் தனித்தனி அடுக்குகள், அவற்றைக் கலப்பது மிக தவறாக வழிநடத்தும் பிழைகளை உருவாக்குகிறது. நிகழ்வின் பங்கு AWS API களை அழைப்பதற்கான AWS அடையாளம். அது தரவுத்தள பயனர் அல்ல. IAM தரவுத்தள அங்கீகாரம் இயந்திரமும் உள்ளமைவும் அனுமதிக்கும் இடத்தில் ஆதரிக்கப்படும் அம்சம், மேலும் அது இன்னும் தரவுத்தள பயனருக்கான வரைபடமே தவிர மாற்று அல்ல.

பயன்பாட்டின் உள்ளமைவில் ஒரு தேடலில் இருந்து பிடிக்கப்பட்ட முகவரிக்குப் பதிலாக RDS முனையின் பெயரைப் பயன்படுத்தவும். Multi-AZ மாற்றம் அந்தப் பெயருக்குப் பின்னால் உள்ள முகவரியை மாற்றுகிறது, IP உடன் பொருத்தப்பட்ட பயன்பாடு அது தேவைப்படும் சரியான தருணத்தில் தோல்வியடையும். பிழையை மறையச் செய்ய இயந்திரத்தின் TLS சரிபார்ப்பை முடக்குவதற்குப் பதிலாக அதை இயக்கத்தில் வைத்திருங்கள், ஏனெனில் சரிபார்ப்புத் தோல்வி நீங்கள் அடைந்த முனையைப் பற்றி ஏதோ சொல்கிறது.

பின்னர் தரவுத்தளக் கணக்கிற்கு பயன்பாட்டிற்குத் தேவையான குறைந்தபட்சத்தை, அது உண்மையில் பயன்படுத்தும் திட்டத்தில் கொடுங்கள். அந்த வேலை சலிப்பானது, அது தணிக்கை செய்யக்கூடியது, சம்பவ மறுஆய்வு அதே பகுதியைப் பற்றிக் கேட்கும்.

வரிசைப்படுத்தப்பட்ட சூழலில் இருந்து சரிபார்க்கவும்

நிகழ்விலிருந்து அல்லது அதே குழு, துணை வலையமைப்பு மற்றும் பங்குடன் இயங்கும் பணியிலிருந்து சோதிக்கவும். நான்கு தோல்விகள் மடிக்கணினியில் இருந்து ஒரே மாதிரி தெரியும், அங்கிருந்து எளிதில் வேறுபடுத்தலாம்: தீர்க்கப்படாத பெயர், காலாவதியாகும் இணைப்பு, TLS செல்லுபடியாகும் தோல்வி மற்றும் நிராகரிக்கப்பட்ட தரவுத்தள உள்நுழைவு. ஒவ்வொன்றும் வேறு எல்லையைச் சுட்டுகிறது, உங்களிடம் எது இருக்கிறது என்பதை அறியும் முன் தரவுத்தளத்தின் வெளிப்பாட்டை மாற்றுவது ஊகம்.

psql "host=prod-db.abc123.eu-west-1.rds.amazonaws.com port=5432 dbname=app sslmode=verify-full" -c 'select 1'

நிகழ்விலிருந்து இணைப்பு வெற்றி பெற்று உங்கள் மேசையிலிருந்து தோல்வியடைந்தால், பயன்பாட்டின் பாதை சரியானது, சரிசெய்ய வேண்டியது உங்கள் அணுகல். இரண்டிலிருந்தும் தோல்வியடைந்தால், சான்றுகளிலிருந்து அல்ல, மேலே உள்ள குழு மற்றும் பாதை சரிபார்ப்புகளிலிருந்து தொடங்குங்கள். அந்த ஒரு ஒப்பீடே இந்த டிக்கெட்டுகள் உருவாக்கும் பெரும்பாலான குழப்பத்தைத் தடுக்கிறது.