VPN orqali SQL: to'g'ridan-to'g'ri mijoz yoki ichki ish stansiyasi?

Jamoalar noutbuklarida SSMS xohlaydi, tezkor yechim esa SQL portini VPN hovuziga e'lon qilishdir. Sekinroq javob mijoz jarayoni qayerda ishlashi kerakligini so'raydi, chunki to'g'ridan-to'g'ri kirish va ichki ish stansiyasi turli manba manzillari, oxirgi nuqta ishonchi va ma'lumot yo'llarini yaratadi. Ikkalasi ham avtomatik xavfsiz emas, faqat VPN a'zoligi hech narsani hal qilmaydi. Ruxsat qoidasi paydo bo'lishidan oldin dizaynlarni solishtiring.

Ikki yo'l, ikki manba manzili

To'g'ridan-to'g'ri kirishda noutbuk mijoz konfiguratsiyasini olib yuradi va ma'lumotlar bazasi ulanishini o'zi ochadi. Masofaviy ish stansiyasida noutbuk ish stoli seansini ochadi, ish stansiyasi esa SQL ulanishini o'z manzilidan o'rnatadi. Shuning uchun ma'lumotlar bazasi birinchi dizaynda VPN hovuzini yoki tarjima qilingan shlyuzni, ikkinchisida ish stansiyasi manzilini ko'radi. Aynan shu farq qaysi tarmoq ekrani qoidasi va qaysi SQL ruxsati haqiqatda amal qilishini belgilaydi.

Noutbuk masofaviy seansni hanuz boshqaradi, shuning uchun ish stansiyasi foydalanuvchi autentifikatsiyasi yoki seans siyosatini almashtirmaydi.

Ma'lumotlar bazasi aslida nima ko'rishini tekshiring

Manba manzili o'lchanadigan narsa, diagrammadan chiqarib bo'lmaydi. Uni faol ulanishning server tomonidan o'qing.

Test-NetConnection sql.example.com -Port 1433
sqlcmd -S tcp:sql.example.com,1433 -N -d appdb -Q "select SUSER_SNAME() as login_name, DB_NAME() as db"

Ulanish testi tinglovchining o'sha tarmoqdan TCP qabul qilishini isbotlaydi, so'rov esa seans qaysi kirish va qaysi ma'lumotlar bazasiga yetganini isbotlaydi. Server yozib olgan manzilni ko'rish uchun joriy seans uchun sys.dm_exec_connections so'rovini bering; u har qanday tarjimadan keyin mijoz manzilini qaytaradi. Agar bu qiymat noutbuk emas, shlyuz bo'lsa, foydalanuvchi bo'yicha xost qoidasi ma'lumotlar bazasi mashinasida ishlay olmaydi. Kuzatilgan qiymatni tanlangan dizayn yoniga yozing, chunki qayta ulanishlar va hovuz o'zgarishlari uni siljitadi.

Tinglovchini oching, ortig'ini emas

Faqat joylashtirishga kerak bo'lgan xizmatni oching. Tanish 1433 — standart nusxaning porti, universal konstanta emas.

Get-NetTCPConnection -State Listen -LocalPort 1433

Nomlangan nusxalar ko'pincha dinamik portda tinglaydi, SQL Server Browser UDP 1434 da aniqlashga javob beradi va bu bog'liqlik alohida ochilish bo'lib, uni asoslash kerak. Nusxa uchun qat'iy portni mahkamlash Browser ehtiyojini yo'q qiladi va tarmoq ekrani qoidalarini barqaror qiladi. Mijoz allaqachon bajaradigan shifrlash va sertifikat tekshiruvlarini test o'tishi uchun o'chirish o'rniga saqlang. Keyin butun VPN guruhini server roliga qo'shish o'rniga ish yuki uchun ma'lumotlar bazasi rollarini bering.

Ruxsat etilgan yo'lni va rad etilganini isbotlang

Oddiy tasdiqlangan foydalanuvchi sifatida yangi seans oching va server identifikatori, ma'lumotlar bazasi va talab qilinadigan operatsiyani tasdiqlang. Keyin istisno tasdiqlang: siyosatdan tashqari manba yoki hisob aynan shu testda muvaffaqiyatsiz bo'lishi kerak. Ish stansiyasi dizayni uchun noutbuk ma'lumotlar bazasiga to'g'ridan-to'g'ri yetib chegarani chetlab o'ta olmasligini tekshiring. To'g'ridan-to'g'ri kirish uchun qayta ulanishdan keyin ham marshrut va manba qoidasi amal qilishini tekshiring.

Mijoz qayerda ishlaganini, ma'lumotlar bazasi qaysi manbani kuzatganini va qaysi qoida ruxsat berganini yozib oling. Keyingi ko'rib chiqish so'raydigan dalil shu.