VPN yoniq bo’lganda bulutli xavfsizlik devori qaysi manzilni ko’radi
To’liq tunnel ma’lumotlar bazangiz ko’radigan manba manzilini o’zgartiradi. Ruxsat ro’yxatini, xususiy yo’lni yoki bo’lingan tunnelni ko’chiring, hisob ma’lumotlarini emas.
VPN ulanmasdan oldin ishlaydigan va ulangandan keyin ishlamay qoladigan ma’lumotlar bazasi kamdan-kam hollarda hisob ma’lumotlari muammosi bo’ladi. Bulutli xavfsizlik devorlari manba manzillarni solishtiradi, to’liq tunnel esa ular solishtirgan manzilni almashtiradi. Noutbukingiz yuboradi deb o’ylagan narsa bilan server qabul qiladigan narsa orasidagi farq butun xatodir va uni bir qadamda o’lchash mumkin.
Manba manzil nimaga aylanadi
To’liq tunnelda har bir paket VPN shlyuzidan chiqadi, shuning uchun server uy ulanishizni emas, shlyuzning chiqish manzilini ko’radi. Yo’lda oldinga proksi bo’lsa, uning manzili yetib keladi. Ikkalasi ham qonuniy manba va hech biri sizning asl qoidangizdagi manzil emas.
Azure SQL ning server darajasidagi va ma’lumotlar bazasi darajasidagi xavfsizlik devori qoidalari mantiqiy serverga yetib boradigan mijoz manzilini solishtiradi, to’liq tunneldan keyin bu chiqish manzili. Bitta manzilga ruxsat beradigan AWS xavfsizlik guruhi ham xuddi shunday ishlaydi. Paket autentifikatsiyadan oldin tashlanadi, shuning uchun olingan xato ruxsat muammosi emas, tarmoq nosozligi kabi ko’rinadi. Odamlar parollarni tiklashni boshlashining sababi aynan shu.
Ruxsat ro’yxati qayerda hal qilinadi
Ishlamayotgan yo’lga mos qoidani o’qing, o’zingiz yaratgan deb eslaydigan qoidani emas. Uning qamrovini, portini, protokolini va har qanday shaxs tekshiruvidan oldin baholanishini qayd eting.
Keyin bu qaror qonuniy ravishda qaysi qatlamga tegishli ekanini aniqlang. Manzil qoidasi trafik qayerdan kelishini javob beradi. Xususiy so’nggi nuqta xizmatning xususiy yo’l orqali umuman yetib borishini javob beradi. Bo’lingan tunnel istisnosi qaysi manzillar tunnelni chetlab o’tishini javob beradi. Ular almashtirilmaydi va tunnel o’zgarganda har biri boshqacha ishlamaydi.
Uch tuzatish, uch qatlam
Quyidagi har bir variant oqimni boshqa sabab bilan tuzatadi va noto’g’risini tanlash keyingi shlyuz o’zgarishigacha ishlaydigan ulanish beradi.
| Repair | Layer it changes | What it does not fix |
|---|---|---|
| Add the egress address to the rule | Source address matching | Nothing about routing, and it breaks when the egress moves |
| Use a private endpoint | Whether the service is reached privately | A client that still resolves the public name |
| Add a split-tunnel exception | Which flows bypass the tunnel | An expired credential or a wrong password |
Chiqish manzilini qo’shish eng kichik o’zgarish va eng nozik usul, chunki yangi shlyuz yoki boshqa hudud uni jimgina bekor qiladi. Manzilni tunnel ta’rifi yonida hujjatlashtiring, ikkalasi birga harakatlansin. Vaqtinchalik keng diapazon diagnostika, tuzatish emas; uni joyida qoldirish ichki xizmatlarning ochiq qolib ketish yo’lidir.
Nega boshqariladigan platforma tunnelga qo’shila olmaydi
Heroku, AppHarbor yoki CloudBees kabi ilova platformalari kodingizni tun yoki tap qurilmasi bo’lmagan va uni yaratish huquqi ham bo’lmagan muhitda ishga tushiradi. Ularning kirish modeli HTTP, ixtiyoriy tinglovchi soket emas. VPN ikkilik faylini olib keladigan buildpack ham interfeysni qo’yadigan joy topmaydi. Ishlaydigan usullar: ma’lumotlar bazasi ruxsat bera oladigan statik chiqish manzili, platforma taklif qiladigan xususiy ulanish mahsuloti yoki DMZ da HTTPS orqali yetib boriladigan proksi.
O’sha proksi o’z autentifikatsiyasi va jurnali bo’lgan kirish yo’lidir. U platformani VPN a’zosi qilmaydi va bunday tasvirlash hech kim tekshira olmaydigan qoidalar yaratadi.
Muvaffaqiyatsiz bo’lgan mijozdan tekshiring
Qayta ulanib, mijozning aniq yo’lini takrorlang. Xizmat qayd etadigan manba manzilini, mijoz ma’lumotlar bazasi nomi uchun tanlaydigan marshrutni va haqiqiy so’rov natijasini shu tartibda tekshiring. Shlyuzdan qilingan sinov shlyuz ishlashini isbotlaydi, bu hech qachon shubha ostida bo’lmagan. Agar ulanish endi autentifikatsiyadan o’tsa-yu so’rov hali ham ishlamasa, qolgan muammo ma’lumotlar bazasi ruxsatidir.
Tunnel har o’zgarganda ushbu qoidalarni ko’rib chiqing. Almashtirilgan shlyuz yoki yangi chiqish diapazoni ilova konfiguratsiyasida hech qanday o’zgarishsiz yo’lni buzadi.