Tijorat VPN 5432-portni bloklaydimi? Variantlaringizni solishtiring

Ilova har kuni ofisdan oʻz maʼlumotlar bazasi bilan gaplashardi. Keyin kimdir xuddi shu noutbukda tijorat VPN mijozi yoqdi va ulanish qoʻl berishdan keyin qayta oʻrnatila boshladi. Ilovada hech narsa oʻzgarmadi, tunnel oʻzini sogʻlom deb bildiradi va siz boshqaradigan xavfsizlik devorida bloklash qoidasi yoʻq. Oʻzgargan narsa chiqish yoʻli: provayder serverlari umumiy, yuqori trafikli soʻnggi nuqtalar, provayderlar esa suiisteʼmollikni kamaytirish uchun chiquvchi portlarni filtrlaydi. Maʼlumotlar bazasi va pochta joʻnatish portlari buning katta qismini oladi, chunki anonim manzillar hovuzidan skanerlash va spamni aynan shu portlar tortadi.

Filtrashni qolgan hamma narsadan ajratadigan besh daqiqalik sinov

Xuddi shu mashinadan ochiq boʻlishi kerak boʻlgan bitta portni va ishlamay qoladigan portni xuddi shu xostda, tunnel yoqilgan va keyin oʻchirilgan holatda tekshiring. Ikkala marta ham bir xil buyruqdan foydalaning, shunda yagona oʻzgaruvchi tunnel boʻladi:

Test-NetConnection db.example.com -Port 443
Test-NetConnection db.example.com -Port 5432
nc -vz -w3 db.example.com 5432

Toʻrt natija deyarli barcha holatlarni qamrab oladi. Agar 443 ishlab, 5432 faqat tunnel yoqilganda ishlamay qolsa, siz chiqish yoʻlida port filtrlashni koʻryapsiz. Agar tunnel yoqilganda ikkalasi ham ishlamay qolsa va usiz ikkalasi ham ishlasa, muammo port siyosatida emas, marshrutlash yoki DNSda. Agar ikkala port ulansa ham ilova hali ham ishlamay qolsa, ayb yetib borishda emas, autentifikatsiya yoki TLSda. Va agar provayderning faqat bitta server joylashuvi ishlamay qolsa, bu server boʻyicha siyosat, shuning uchun har qanday konfiguratsiyaga tegishdan oldin boshqa joylashuvni sinab koʻring.

Birinchi variant: maʼlumotlar bazasi quyi tarmogʻi uchun boʻlingan tunnel

Agar noutbukka tijorat VPN faqat boshqa maqsadlar uchun kerak boʻlsa, maʼlumotlar bazasining manzil oraligʻini tunneldan chiqarib tashlang, shunda trafik umumiy chiqishga umuman kirmaydi. Ikki yoʻl haqiqatan ham uchrashishi shart boʻlmaganda bu eng toza variant va siz hujjatlashtira oladigan marshrutlash qoidasidan boshqa hech narsa turmaydi. Savdo shuki, boʻlingan tunnel ikkinchi siyosat yuzasini kiritadi: tunneldan chiqarib tashlangan narsa qasddan boʻlishi kerak, keyinchalik kimdir qoʻshgan quyi tarmoqning yon taʼsiri emas.

Maʼlumotlar bazasi VPN yetib borishi kerak boʻlgan tarmoq ichida boʻlgan paytda u ishlashdan toʻxtaydi, shuning uchun bunga qaror qilishdan oldin buni tekshiring.

Ikkinchi variant: oʻz soʻnggi nuqtangiz, oʻz chiqishingiz

VPSda kichik VPN soʻnggi nuqtasini yuritish chiqish siyosati nazoratini sizga beradi va umumiy hovuz ishtirok etmaydi. Tijorat mijozi bilan halol solishtirishga arziydigan variant shu: siz bashorat qilinadigan manba manziliga ega boʻlasiz va provayderning global izi hamda qulayligini yoʻqotasiz. Butun kun maʼlumotlar bazasi va pochta portlari kerak boʻlgan jamoa uchun savdo odatda soʻnggi nuqtaga egalik foydasiga hal boʻladi, chunki nosozlik rejimi boshqa birovning suiisteʼmollik siyosati emas, sizning oʻz notoʻgʻri konfiguratsiyangizga aylanadi.

Ikkalasini manba manzilining barqarorligi, trafigingizni kim oʻqiy olishi va soʻnggi nuqta provayderi oʻz filtrashini oʻzgartiradigan kunda nima boʻlishi boʻyicha solishtiring.

Uchinchi variant: noutbukni yoʻldan chiqarib tashlang

CI ishi, rejalashtirilgan konteyner yoki ruxsat etilgan tarmoq ichidagi bastion xosti insonning tunnel holatiga bogʻliq emas. Ruxsat etilgan xostdan SSH tunneli orqali maʼlumotlar bazasiga yetib boring va noutbuk hech qachon port bilan bevosita gaplashmaydi. Bir necha kishi bir cheklovga duch kelganda bu variant kengayadi va muammoni aylanib oʻtish oʻrniga yoʻq qiladi.

Bu boʻlingan tunnel qoidasidan koʻra koʻproq oldindan ish talab qiladi va ayni damda interaktiv sessiya kerak boʻlgan bitta odamga yordam bermaydi.

Nega provayder manzilini ruxsat etilganlar roʻyxatiga qoʻyish notoʻgʻri taqqoslash

Provayderning chiqish manzilini maʼlumotlar bazasi ruxsat etilganlar roʻyxatiga qoʻshish ishlaydi va oʻsha paytda bu manzilni baham koʻrgan har bir boshqa abonentga ham kirish beradi. Tor berilgan ilova hisobi ortidagi faqat oʻqish uchun replika uchun bir kunga ochiqlik toqat qilsa boʻladi. Yoziladigan har qanday narsa uchun bu nom qoʻyishga arziydigan savdo emas, aylanadigan chiqish manzillari uni yanada yomonlashtiradi: har bir server oʻzgarishi qoidani buzadi va texnik xizmat ruxsat etilganlar roʻyxatining maqsadini yoʻqqa chiqaradigan keng CIDR yozuvlarini chaqiradi.

Ajratilgan yoki statik manzillar, provayder ularni sotadigan joyda, bu narsaning kengayadigan yagona versiyasidir. Ruxsat etilganlar roʻyxatini faqat sizga tegishli manzilga bogʻlang yoki umuman bogʻlamang.

Nima tanlasangiz ham, yoʻlni va sababini yozib qoʻying. Keyingi odam xuddi shu qayta oʻrnatilayotgan ulanishga duch keladi va ilovani ayblashni boshlaydi.