Hinaharang ba ng komersyal na VPN ang port 5432? Ihambing ang iyong mga opsyon

Nakikipag-usap ang application sa database nito mula sa opisina araw-araw. Pagkatapos ay may nagbukas ng komersyal na VPN client sa parehong laptop, at nagsimulang mag-reset ang koneksyon pagkatapos ng handshake. Walang nagbago sa application, iniuulat ng tunnel na malusog ito, at ang firewall na kinokontrol mo ay walang panuntunan sa pagharang. Ang nagbago ay ang daanan ng labasan: ang mga server ng provider ay pinagsasaluhang endpoint na may mataas na trapiko, at ang mga provider ay nagsasala ng papalabas na port upang bawasan ang abuso. Ang mga port ng database at pagpapadala ng mail ang kumukuha ng pinakamalaking bahagi, dahil ito ang mga port na umaakit ng pag-scan at spam mula sa isang hindi kilalang pool ng address.

Ang limang minutong pagsubok na naghihiwalay sa pagsasala mula sa lahat ng iba pa

Mula sa parehong makina, subukan ang isang port na dapat bukas at ang port na nabibigo, sa parehong host, habang naka-on ang tunnel at pagkatapos ay patay. Gamitin ang parehong command sa dalawang pagkakataon upang ang tanging variable ay ang tunnel:

Test-NetConnection db.example.com -Port 443
Test-NetConnection db.example.com -Port 5432
nc -vz -w3 db.example.com 5432

Apat na resulta ang sumasakop sa halos lahat ng kaso. Kung gumagana ang 443 at ang 5432 ay nabibigo lamang habang naka-on ang tunnel, nakikita mo ang pag-sala ng port sa daanan ng labasan. Kung pareho silang nabibigo habang naka-on ang tunnel at pareho silang gumagana nang wala ito, ang problema ay routing o DNS, hindi patakaran sa port. Kung parehong kumokonekta ang mga port pero nabibigo pa rin ang application, ang kasalanan ay authentication o TLS, hindi pag-abot. At kung isang lokasyon lamang ng server ng provider ang nabibigo, iyon ay patakaran kada server, kaya subukan ang ibang lokasyon bago hawakan ang anumang configuration.

Opsyon isa: split tunnel para sa subnet ng database

Kung ang laptop ay nangangailangan lamang ng komersyal na VPN para sa iba pang layunin, ibukod ang hanay ng address ng database mula sa tunnel upang hindi kailanman pumasok ang trapiko sa pinagsasaluhang labasan. Ito ang pinakamalinis na opsyon kapag ang dalawang daanan ay talagang hindi kailangang magkita, at wala itong gastos maliban sa isang panuntunan sa routing na maaari mong idokumento. Ang kalakalan ay ang ang split tunneling ay nagpapakilala ng pangalawang ibabaw ng patakaran: ang ibinukod mula sa tunnel ay dapat sinasadya, hindi isang epekto ng isang subnet na idinagdag ng iba mamaya.

Hihinto ito sa paggana sa sandaling ang database ay nasa loob ng network na dapat maabot ng VPN, kaya suriin iyon bago magpasyan.

Opsyon dalawa: sarili mong endpoint, sarili mong labasan

Ang pagpapatakbo ng maliit na VPN endpoint sa isang VPS ay naglalagay sa iyo sa kontrol ng patakaran sa labasan, at walang pinagsasaluhang pool na kasangkot. Ito ang opsyon na karapat-dapat ihambing nang tapat sa komersyal na kliyente: nakakakuha ka ng mahuhulaang source address at nawawala ang pandaigdigang bakas at kaginhawahan ng provider. Para sa isang team na nangangailangan ng database at mail port sa buong araw, ang kalakalan ay kadalasang pumapanig sa pagmamay-ari ng endpoint, dahil ang paraan ng pagkabigo ay nagiging sarili mong maling configuration at hindi ang patakaran sa abuso ng iba.

Ihambing ang dalawa sa katatagan ng source address, kung sino ang makakabasa ng iyong trapiko, at sa nangyayari sa araw na babaguhin ng provider ng endpoint ang sarili nitong pagsasala.

Opsyon tatlo: ilabas ang laptop sa daanan

Ang trabahong CI, naka-iskedyul na container, o bastion host sa loob ng pinapayagang network ay hindi nakadepende sa estado ng tunnel ng isang tao. Maabot ang database sa pamamagitan ng SSH tunnel mula sa host na pinapayagan na, at ang laptop ay hindi kailanman direktang nakikipag-usap sa port. Ito ang opsyon na lumalaki kapag maraming tao ang nakatagpo ng parehong paghihigpit, at ito rin ang nag-aalis ng problema sa halip na umiwas dito.

Nangangailangan ito ng mas maraming gawain nang maaga kaysa sa panuntunan ng split tunnel, at hindi nito natutulungan ang nag-iisang taong nangangailangan ng interactive na session ngayon.

Bakit ang paglalagay ng address ng provider sa listahan ng pinapayagan ay ang maling paghahambing

Ang pagdaragdag ng exit address ng provider sa listahan ng pinapayagan ng database ay gumagana, at nagbibigay din ito ng access sa bawat iba pang subscriber na nagbabahagi ng address na iyon sa sandaling iyon. Para sa read-only na replika sa likod ng makitid na ibinigay na account ng application, ang pagkalantad ay maaaring matiis sa loob ng isang araw. Para sa anumang naisusulat ito ay hindi isang kalakal na karapat-dapat pangalanan, at ang umiikot na exit address ay nagpapalala nito: bawat pagbabago ng server ay sumisira sa panuntunan, at ang pagpapanatili ay nag-aanyaya ng malalawak na CIDR entry na sumisira sa layunin ng listahan ng pinapayagan.

Ang dedikado o static na address, kung saan ibinebenta ito ng provider, ay ang tanging bersyon nito na lumalaki. Iugnay ang listahan ng pinapayagan sa isang address na ikaw lamang ang may-ari, o huwag itong iugnay.

Anuman ang piliin mo, isulat ang daanan at ang dahilan. Makakatagpo ang susunod na tao ng parehong nagre-reset na koneksyon at magsisimulang sisihin ang application.