Ticari bir VPN 5432 numaralı bağlantı noktasını bloklar mı? Seçeneklerinizi karşılaştırın

Uygulama her gün ofisten veritabanıyla konuşuyordu. Sonra biri aynı dizüstü bilgisayarda ticari VPN istemcisini açtı ve bağlantı el sıkışmasından sonra sıfırlanmaya başladı. Uygulamada hiçbir şey değişmedi, tünel sağlıklı olduğunu bildiriyor ve sizin denetlediğiniz güvenlik duvarında hiçbir engelleme kuralı yok. Değişen şey çıkış yoluydu: sağlayıcının sunucuları paylaşılan, yüksek hacimli uç noktalardır ve sağlayıcılar kötüye kullanımı azaltmak için giden bağlantı noktalarını filtreler. Veritabanı ve posta gönderim bağlantı noktaları bunun en büyük payını alır, çünkü anonim bir adres havuzundan tarama ve istenmeyen posta çeken bağlantı noktaları tam olarak bunlardır.

Filtrelemeyi diğer her şeyden ayıran beş dakikalık test

Aynı makineden, açık olması gereken bir bağlantı noktasını ve başarısız olan bağlantı noktasını, aynı ana bilgisayarda, tünel açıkken ve sonra kapalıyken inceleyin. Tek değişken tünel olacak şekilde iki seferde de aynı komutu kullanın:

Test-NetConnection db.example.com -Port 443
Test-NetConnection db.example.com -Port 5432
nc -vz -w3 db.example.com 5432

Dört sonuç neredeyse her durumu kapsar. 443 çalışıyor ve 5432 yalnızca tünel açıkken başarısız oluyorsa, çıkış yolunda bağlantı noktası filtrelemesi görüyorsunuz. Tünel açıkken ikisi de başarısız oluyor ve tünel olmadan ikisi de çalışıyorsa, sorun bağlantı noktası ilkesinde değil yönlendirme veya DNS'te. İki bağlantı noktası da bağlanıyor ama uygulama hâlâ başarısız oluyorsa, hata erişilebilirlikte değil kimlik doğrulama veya TLS'te. Ve yalnızca sağlayıcının tek bir sunucu konumu başarısız oluyorsa, bu sunucu bazlı bir ilkedir, bu yüzden herhangi bir yapılandırmaya dokunmadan önce başka bir konumu deneyin.

Birinci seçenek: veritabanı alt ağı için bölünmüş tünel

Dizüstü bilgisayar ticari VPN'e yalnızca başka amaçlar için ihtiyaç duyuyorsa, veritabanının adres aralığını tünelden çıkarın, böylece trafik paylaşılan çıkışa hiç girmez. İki yolun gerçekten buluşması gerekmediğinde en temiz seçenek budur ve belgeleyebileceğiniz bir yönlendirme kuralından başka hiçbir maliyeti yoktur. Ödün şudur: bölünmüş tünel ikinci bir ilke yüzeyi getirir: tünelden çıkarılan şey kasıtlı olmalıdır, birinin sonradan eklediği bir alt ağın yan etkisi değil.

Veritabanı, VPN'in ulaşması gereken ağın içinde olduğu anda çalışmayı bırakır, bu yüzden buna karar vermeden önce bunu kontrol edin.

İkinci seçenek: kendi uç noktanız, kendi çıkışınız

Bir VPS üzerinde küçük bir VPN uç noktası çalıştırmak çıkış ilkesinin denetimini size verir ve paylaşılan bir havuz söz konusu olmaz. Ticari istemciyle dürüstçe karşılaştırmaya değer seçenek budur: öngörülebilir bir kaynak adresi kazanır, sağlayıcının küresel ayak izini ve kolaylığını kaybedersiniz. Veritabanı ve posta bağlantı noktalarına gün boyu ihtiyaç duyan bir ekip için ödün genellikle uç noktaya sahip olma lehine sonuçlanır, çünkü hata modu başkasının kötüye kullanım ilkesi değil sizin kendi yanlış yapılandırmanız olur.

İkisini kaynak adresinin kararlılığı, trafiğinizi kimin okuyabildiği ve uç noktanın sağlayıcısının kendi filtrelemesini değiştirdiği gün ne olduğu açısından karşılaştırın.

Üçüncü seçenek: dizüstü bilgisayarı yoldan çıkarın

Bir CI işi, zamanlanmış bir kapsayıcı veya izin verilen ağ içindeki bir kale ana bilgisayarı bir insanın tünel durumuna bağlı değildir. Veritabanına zaten izin verilen bir ana bilgisayardan SSH tüneliyle ulaşın ve dizüstü bilgisayar bağlantı noktasıyla asla doğrudan konuşmaz. Bu, birkaç kişi aynı kısıtlamayla karşılaştığında ölçeklenen seçenektir ve sorunu etrafından dolaşmak yerine ortadan kaldıran seçenektir.

Bölünmüş tünel kuralından daha fazla ön çalışma gerektirir ve şu anda etkileşimli bir oturuma ihtiyaç duyan tek kişiye yardımcı olmaz.

Sağlayıcının adresini izin listesine koymak neden yanlış karşılaştırmadır

Sağlayıcının çıkış adresini veritabanı izin listesine eklemek işe yarar ve o anda bu adresi paylaşan diğer her aboneye de erişim verir. Dar verilmiş bir uygulama hesabının arkasındaki salt okunur bir kopya için maruz kalma bir gün boyunca katlanılabilir olabilir. Yazılabilir her şey için bu, ad vermeye değmeyecek bir ödündür ve dönen çıkış adresleri durumu kötüleştirir: her sunucu değişikliği kuralı bozar ve bakım, izin listesinin amacını boşa çıkaran geniş CIDR girdilerini davet eder.

Özel veya statik adresler, sağlayıcının bunları sattığı yerlerde, bunun ölçeklenen tek sürümüdür. İzin listesini yalnızca size ait bir adrese bağlayın ya da hiç bağlamayın.

Ne seçerseniz seçin, yolu ve nedeni yazın. Sıradaki kişi aynı sıfırlanan bağlantıyla karşılaşacak ve uygulamayı suçlamaya başlayacak.