VPN کے ذریعے SQL: براہِ راست کلائنٹ یا اندرونی ورک اسٹیشن؟

ٹیمیں اپنے لیپ ٹاپ پر SSMS چاہتی ہیں، اور فوری حل SQL پورٹ کو VPN پول پر شائع کرنا ہے۔ سست جواب پوچھتا ہے کہ کلائنٹ عمل کہاں چلنا چاہیے، کیونکہ براہِ راست رسائی اور اندرونی ورک اسٹیشن مختلف ماخذ پتے، اینڈ پوائنٹ اعتماد اور ڈیٹا راستے بناتے ہیں۔ دونوں میں سے کوئی بھی خودکار طور پر محفوظ نہیں، اور صرف VPN رکنیت کچھ طے نہیں کرتی۔ اجازت کا قاعدہ بننے سے پہلے ڈیزائنوں کا موازنہ کریں۔

دو راستے، دو ماخذ پتے

براہِ راست رسائی میں لیپ ٹاپ کلائنٹ ترتیب رکھتا ہے اور خود ڈیٹا بیس کنکشن کھولتا ہے۔ دور دراز ورک اسٹیشن میں لیپ ٹاپ ڈیسک ٹاپ سیشن کھولتا ہے، اور ورک اسٹیشن اپنے پتے سے SQL کنکشن بناتا ہے۔ اس لیے پہلے ڈیزائن میں ڈیٹا بیس VPN پول یا ترجمہ شدہ گیٹ وے دیکھتا ہے، اور دوسرے میں ورک اسٹیشن کا پتہ۔ یہی فرق طے کرتا ہے کہ کون سا فائر وال قاعدہ اور کون سی SQL اجازت واقعی لاگو ہوتی ہے۔

لیپ ٹاپ اب بھی دور دراز سیشن کو کنٹرول کرتا ہے، لہٰذا ورک اسٹیشن صارف کی تصدیق یا سیشن پالیسی کا متبادل نہیں۔

جانچیں کہ ڈیٹا بیس واقعی کیا دیکھتا ہے

ماخذ پتہ ناپنے کی چیز ہے، کسی خاکے سے اندازہ لگانے کی نہیں۔ اسے فعال کنکشن کے سرور کی طرف سے پڑھیں۔

Test-NetConnection sql.example.com -Port 1433
sqlcmd -S tcp:sql.example.com,1433 -N -d appdb -Q "select SUSER_SNAME() as login_name, DB_NAME() as db"

کنیکٹیویٹی ٹیسٹ ثابت کرتا ہے کہ سننے والا اس نیٹ ورک سے TCP قبول کرتا ہے، جبکہ استفسار ثابت کرتا ہے کہ سیشن کس لاگ ان اور کس ڈیٹا بیس تک پہنچا۔ سرور کا درج کردہ پتہ دیکھنے کے لیے موجودہ سیشن کے لیے sys.dm_exec_connections سے استفسار کریں، جو کسی بھی ترجمے کے بعد کلائنٹ پتہ واپس دیتا ہے۔ اگر وہ قدر لیپ ٹاپ نہیں بلکہ گیٹ وے ہے، تو فی صارف ہوسٹ قاعدہ ڈیٹا بیس مشین پر کام نہیں کر سکتا۔ مشاہدہ شدہ قدر منتخب ڈیزائن کے ساتھ لکھیں، کیونکہ دوبارہ کنکشن اور پول تبدیلیاں اسے ہلاتی ہیں۔

سننے والا کھولیں اور اس کے سوا کچھ نہیں

صرف وہی سروس کھولیں جس کی تعیناتی کو ضرورت ہے۔ معروف 1433 ڈیفالٹ انسٹنس کا پورٹ ہے، کوئی عالمگیر مستقل نہیں۔

Get-NetTCPConnection -State Listen -LocalPort 1433

نامزد انسٹنس اکثر متحرک پورٹ پر سنتے ہیں، SQL Server Browser UDP 1434 پر دریافت کا جواب دیتا ہے، اور یہ انحصار ایک الگ خطرہ ہے جسے جائز ٹھہرانا ہوتا ہے۔ انسٹنس کے لیے مقررہ پورٹ پن کرنے سے Browser کی ضرورت ختم ہوتی ہے اور فائر وال قواعد مستحکم ہوتے ہیں۔ کلائنٹ کی موجودہ انکرپشن اور سرٹیفکیٹ جانچ بند کرنے کے بجائے برقرار رکھیں تاکہ ٹیسٹ پاس ہو۔ پھر پورے VPN گروپ کو سرور رول میں شامل کرنے کے بجائے کام کے بوجھ کے لیے ڈیٹا بیس رول دیں۔

اجازت شدہ راستہ اور مسترد شدہ راستہ ثابت کریں

عام منظور شدہ صارف کے طور پر نیا سیشن کھولیں اور سرور کی شناخت، ڈیٹا بیس اور مطلوبہ عمل کی تصدیق کریں۔ پھر اخراج کی تصدیق کریں: پالیسی سے باہر ماخذ یا اکاؤنٹ کو اسی ٹیسٹ میں ناکام ہونا چاہیے۔ ورک اسٹیشن ڈیزائن کے لیے جانچیں کہ لیپ ٹاپ براہِ راست ڈیٹا بیس تک پہنچ کر حد کو نظر انداز نہیں کر سکتا۔ براہِ راست رسائی کے لیے جانچیں کہ دوبارہ کنکشن کے بعد بھی راستہ اور ماخذ قاعدہ لاگو رہتے ہیں۔

درج کریں کہ کلائنٹ کہاں چلا، ڈیٹا بیس نے کون سا ماخذ دیکھا اور کس قاعدے نے اجازت دی۔ یہی وہ ثبوت ہے جو اگلا جائزہ مانگے گا۔