VPN üzerinden SQL: doğrudan istemci mi iç iş istasyonu mu?

Ekipler dizüstü bilgisayarlarında SSMS ister ve hızlı çözüm SQL bağlantı noktasını VPN havuzuna yayımlamaktır. Daha yavaş yanıt, istemci sürecinin nerede çalışması gerektiğini sorar, çünkü doğrudan erişim ile iç iş istasyonu farklı kaynak adresleri, uç nokta güveni ve veri yolları üretir. İkisi de otomatik olarak güvenli değildir ve tek başına VPN üyeliği hiçbir şey belirlemez. Bir izin kuralı oluşmadan önce tasarımları karşılaştırın.

İki yol, iki kaynak adresi

Doğrudan erişimde dizüstü bilgisayar istemci yapılandırmasını taşır ve veritabanı bağlantısını kendisi açar. Uzak bir iş istasyonunda dizüstü bilgisayar bir masaüstü oturumu açar ve iş istasyonu SQL bağlantısını kendi adresinden kurar. Bu nedenle veritabanı ilk tasarımda VPN havuzunu veya çevrilmiş bir ağ geçidini, ikincisinde iş istasyonunun adresini görür. Bu fark, hangi güvenlik duvarı kuralının ve hangi SQL izninin gerçekten geçerli olduğunu belirler.

Dizüstü bilgisayar uzak oturumu hâlâ denetler, bu yüzden iş istasyonu kullanıcı kimlik doğrulamasının veya oturum ilkesinin yerine geçmez.

Veritabanının gerçekte ne gördüğünü denetleyin

Kaynak adres ölçülmesi gereken bir şeydir, bir şemadan çıkarılmaz. Onu etkin bir bağlantının sunucu tarafından okuyun.

Test-NetConnection sql.example.com -Port 1433
sqlcmd -S tcp:sql.example.com,1433 -N -d appdb -Q "select SUSER_SNAME() as login_name, DB_NAME() as db"

Bağlantı testi dinleyicinin o ağdan TCP kabul ettiğini kanıtlar; sorgu ise oturumun hangi oturum açma ve hangi veritabanına ulaştığını kanıtlar. Sunucunun kaydettiği adresi görmek için geçerli oturum için sys.dm_exec_connections sorgulayın; bu, herhangi bir çeviriden sonra istemci adresini döndürür. Bu değer dizüstü bilgisayar değil de bir ağ geçidi ise, kullanıcı başına ana makine kuralı veritabanı makinesinde çalışamaz. Gözlenen değeri seçilen tasarımın yanına yazın, çünkü yeniden bağlanmalar ve havuz değişiklikleri onu kaydırır.

Dinleyiciyi açın ve fazlasını değil

Yalnızca dağıtımın ihtiyaç duyduğu hizmeti açın. Tanıdık 1433 varsayılan örneğin bağlantı noktasıdır, evrensel bir sabit değildir.

Get-NetTCPConnection -State Listen -LocalPort 1433

Adlandırılmış örnekler genellikle dinamik bir bağlantı noktasını dinler; SQL Server Browser keşfe UDP 1434 üzerinden yanıt verir ve bu bağımlılık gerekçelendirilmesi gereken ayrı bir maruziyettir. Örnek için sabit bir bağlantı noktası sabitlemek Browser ihtiyacını ortadan kaldırır ve güvenlik duvarı kurallarını kararlı kılar. İstemcinin zaten yaptığı şifreleme ve sertifika denetimlerini, test geçsin diye kapatmak yerine koruyun. Ardından tüm VPN grubunu bir sunucu rolüne eklemek yerine iş yükü için veritabanı rolleri verin.

İzin verilen yolu ve reddedilen yolu kanıtlayın

Sıradan onaylı bir kullanıcı olarak yeni bir oturum açın ve sunucu kimliğini, veritabanını ve gereken işlemi doğrulayın. Ardından dışlamayı doğrulayın: politika dışındaki bir kaynak veya hesap aynı testte başarısız olmalıdır. İş istasyonu tasarımı için dizüstü bilgisayarın veritabanına doğrudan ulaşarak sınırı atlayamadığını doğrulayın. Doğrudan erişim için yolun ve kaynak kuralının yeniden bağlanmadan sonra da geçerli olduğunu doğrulayın.

İstemcinin nerede çalıştığını, veritabanının hangi kaynağı gözlediğini ve hangi kuralın izin verdiğini kaydedin. Sonraki incelemenin isteyeceği kanıt budur.