Mahalliy ma'lumotlar bazasi mijozi va xususiy RDS: ulanish nima uchun vaqt tugaydi

Bir dasturchining noutbuki xususiy RDS oxirgi nuqtasiga ulanayotganda vaqt tugaydi, holbuki o'sha hisob ma'lumotlari bastion xostidan ishlaydi. Hech narsa yiqilmagan. O'sha noutbuk bilan ma'lumotlar bazasi orasidagi yo'lda uchta narsadan biri yetishmaydi: yechiladigan nom, trafikni tashuvchi marshrut yoki ma'lumotlar bazasi haqiqatan ko'radigan manbaga ruxsat beruvchi xavfsizlik guruhi qoidasi. Qolgan ikkitasini o'zgartirishdan oldin qaysi biri yetishmayotganini aniqlang.

Muvaffaqiyatsizlikni to'g'ri qatlamda o'qing

Vaqt tugashi bitta xato emas. Yechilmaydigan nom paket mashinadan chiqmasdan oldin muvaffaqiyatsiz bo'ladi. Marshrutsiz manzil paketlarni qora tuynukka yuboradi. Filtrlangan port noto'g'ri xostga aynan o'xshaydigan kutish hosil qiladi. Qadamlarni tartib bilan bajaring va birinchi muvaffaqiyatsiz qadamda to'xtang.

dig +short db.internal.example
nc -vz db.internal.example 5432

Agar nom ommaviy manzil qaytarsa yoki hech narsa qaytarmasa, tunnel hali muammo emas.

Agar nom yechilsa va port sinovi osilib qolsa, siz yechgan manzilni ma'lumotlar bazasi bildiradigan manzil bilan solishtiring. Boshqariladigan oxirgi nuqta VPC ichida xususiy manzilga, tashqarida esa foydali hech narsaga yechilishi mumkin, eski qidiruvdan ko'chirilgan manzil esa endi javob bermaydigan xostni ko'rsatadi.

Tunnelni marshrutdan ajrating

Mijoz VPN ini ulash har bir xususiy diapazonni avtomatik marshrutlamaydi. Profil xizmat itarib yuboradigan marshrutlarni tashiydi va mijoz ulardan faqat ba'zilarini o'rnatishi mumkin. Mijoz haqiqatan qaysi diapazonlarni qo'shganini va ma'lumotlar bazasi manzili ulardan biriga tushishini ko'ring.

ip route get 10.20.40.15
ip addr show tun0

Tunnel interfeysiga qaratilgan marshrut zarur; u yetarli emas, chunki qarshi tomon hali trafikni qabul qilishi kerak.

Bo'lingan tunnel profillari bu yarim muvaffaqiyatsizlikning odatiy manbai. Ular profil mo'ljallangan ilova uchun ishlaydi va ma'lumotlar bazasi diapazonini tunneldan tashqarida qoldiradi, bu esa xavfsizlik devori keltiradigan vaqt tugashining aynan o'zini keltiradi.

Xavfsizlik guruhini haqiqiy manbaga moslang

RDS xavfsizlik guruhi odamlarga emas, manbalarga ruxsat beradi. Arxitekturaga qarab manba VPN mijozlar hovuzi, bastionning xususiy manzili yoki trafik tarjima qilinadigan NAT manzili bo'lishi mumkin. Qoidani va paketning haqiqiy manbasini birga o'qing.

aws ec2 describe-security-groups --group-ids sg-0123456789abcdef0 \
  --query 'SecurityGroups[].IpPermissions'

Bitta noutbukning uy manzili uchun qoida kirish dizayni emas, xizmat ko'rsatish muammosi.

Yo'lda mijoz VPN yoki NAT shlyuzi bo'lsa, ma'lumotlar bazasi dasturchining tunnel manzili o'rniga tarjimon manzilini ko'rishi mumkin. Shuning uchun ishlaydigan bastion sozlamasidan ko'chirilgan qoida noutbuk uchun muvaffaqiyatsiz bo'lishi mumkin: ikkala yo'l turli manbalardan keladi, ikkisi ham ichki ko'rinsa ham.

Keng yo'ldan tor yo'lni afzal ko'ring

Bitta dasturchiga bitta ma'lumotlar bazasi kerak bo'lsa, sessiyaga asoslangan yo'naltirish to'liq tarmoq tunneliga qaraganda ko'pincha arzonroq. Mahalliy mijoz yo'naltirilgan portga ulanadi va uzoq komponent ma'lumotlar bazasi ulanishini tarmoq ichidan o'rnatadi.

ssh -N -L 5432:db.internal.example:5432 bastion.internal.example

Bu dizaynda TLS tekshiruvini buzilmagan holda saqlang. Mijoz server sertifikatini kutgan nomga qarab tekshirishi kerak; mahalliy yo'naltirilgan port tekshiruvni o'chirish uchun sabab emas va uni o'chirish ushlashga arziydigan aynan o'sha shaxs muammosini yashiradi.

To'liq tunnel va tor yo'naltirish orasidagi tanlov xavfsizlik teatri emas, qamrov haqidagi qaror.

Ortingizda takrorlanadigan yo'l qoldiring

Yechilgan manzil o'rniga oxirgi nuqta nomini, xavfsizlik guruhi ruxsat beradigan manba diapazonini va dasturchi ishlatadigan ma'lumotlar bazasi rolini hujjatlashtiring. Bu uch fakt kelajakdagi ko'p nosozliklarni qo'ng'iroqsiz tushuntiradi. Mijoz profilining versiyasini ham qo'shing, chunki profil o'zgarishi eskisi olib yurgan marshrutni olib tashlashi mumkin.

So'ngra salbiy holatni bir marta sinab ko'ring: tasdiqlangan manbadan tashqaridagi mijoz baribir rad etilishi kerak.

Faqat o'zini sozlagan odam uchun ishlaydigan xususiy ma'lumotlar bazasi xususiy kirish emas; u qayta kashf etilishini kutayotgan hujjatlashtirilmagan istisno. Yo'lni yozib qo'ying, keyingi dasturchi jumboq o'rniga usulni meros oladi.