SQL через VPN: прямий клієнт чи внутрішня робоча станція?

Команди хочуть бачити SSMS на своїх ноутбуках, і швидке рішення — опублікувати порт SQL у пулі VPN. Повільніша відповідь запитує, де має працювати процес клієнта, бо прямий доступ і внутрішня робоча станція дають різні адреси джерела, довіру до кінцевої точки і шляхи даних. Жоден із них не є автоматично безпечним, і саме лише членство у VPN нічого не вирішує. Порівняйте проєкти до того, як з'явиться правило дозволу.

Два шляхи, дві адреси джерела

За прямого доступу ноутбук несе конфігурацію клієнта і сам відкриває з'єднання з базою даних. За віддаленої робочої станції ноутбук відкриває сеанс робочого столу, а робоча станція встановлює SQL-з'єднання зі своєї адреси. Тому база даних у першому проєкті бачить пул VPN або перетворений шлюз, а в другому — адресу робочої станції. Ця різниця визначає, яке правило міжмережевого екрана і яке право SQL дійсно застосовуються.

Ноутбук і далі керує віддаленим сеансом, тому робоча станція не замінює автентифікацію користувача або політику сеансів.

Перевірте, що база даних бачить насправді

Адресу джерела треба вимірювати, а не виводити зі схеми. Прочитайте її на боці сервера активного з'єднання.

Test-NetConnection sql.example.com -Port 1433
sqlcmd -S tcp:sql.example.com,1433 -N -d appdb -Q "select SUSER_SNAME() as login_name, DB_NAME() as db"

Тест зв'язності доводить, що слухач приймає TCP із цієї мережі, а запит доводить, до якого входу і якої бази даних дійшов сеанс. Щоб побачити адресу, яку записав сервер, запитайте sys.dm_exec_connections для поточного сеансу — він повертає адресу клієнта після будь-якого перетворення. Якщо це значення — шлюз, а не ноутбук, правило хоста для окремого користувача не може працювати на машині з базою даних. Запишіть спостережене значення поряд із вибраним проєктом, бо повторні з'єднання та зміни пулу його зсувають.

Відкрийте слухач і нічого зайвого

Відкривайте лише ту службу, яка потрібна розгортанню. Знайомий 1433 — це порт екземпляра за замовчуванням, а не універсальна константа.

Get-NetTCPConnection -State Listen -LocalPort 1433

Іменовані екземпляри часто слухають динамічний порт, а SQL Server Browser відповідає на виявлення через UDP 1434, і ця залежність — окрема поверхня впливу, яку треба обґрунтувати. Закріплення постійного порту за екземпляром прибирає потребу в Browser і робить правила міжмережевого екрана стабільними. Збережіть перевірки шифрування й сертифікатів, які клієнт уже виконує, замість вимикати їх, щоб тест пройшов. Потім надайте ролі бази даних для навантаження, а не додавайте всю групу VPN до серверної ролі.

Доведіть дозволений шлях і заборонений

Відкрийте новий сеанс як звичайний схвалений користувач і підтвердьте ідентичність сервера, базу даних і потрібну операцію. Потім підтвердьте виключення: джерело або обліковий запис поза політикою має не пройти той самий тест. Для проєкту з робочою станцією перевірте, що ноутбук не може обійти межу, звернувшись до бази даних напряму. Для прямого доступу перевірте, що маршрут і правило джерела досі діють після повторного з'єднання.

Запишіть, де працював клієнт, яке джерело спостерігала база даних і яке правило це дозволило. Це ті докази, які попросить наступний огляд.