VPN thương mại có chặn cổng 5432 không? So sánh các lựa chọn của bạn

Ứng dụng nói chuyện với cơ sở dữ liệu từ văn phòng mỗi ngày. Rồi ai đó bật ứng dụng VPN thương mại trên cùng chiếc máy tính xách tay, và kết nối bắt đầu bị đặt lại sau bắt tay. Không có gì trong ứng dụng thay đổi, đường hầm báo cáo khỏe mạnh, và tường lửa bạn kiểm soát không có quy tắc chặn nào. Thứ đã thay đổi là đường ra: máy chủ của nhà cung cấp là các điểm cuối dùng chung có lưu lượng lớn, và nhà cung cấp lọc các cổng gửi ra để giảm lạm dụng. Cổng cơ sở dữ liệu và cổng gửi thư nhận phần lớn nhất, vì chính những cổng đó thu hút quét và thư rác từ một nhóm địa chỉ ẩn danh.

Bài kiểm tra năm phút tách việc lọc khỏi mọi thứ khác

Từ cùng máy đó, thăm dò một cổng phải mở và cổng bị lỗi, trên cùng một máy chủ, khi đường hầm bật rồi tắt. Dùng cùng một lệnh cả hai lần để biến số duy nhất là đường hầm:

Test-NetConnection db.example.com -Port 443
Test-NetConnection db.example.com -Port 5432
nc -vz -w3 db.example.com 5432

Bốn kết quả bao phủ gần như mọi trường hợp. Nếu 443 hoạt động và 5432 chỉ lỗi khi bật đường hầm, bạn đang thấy việc lọc cổng trên đường ra. Nếu cả hai lỗi khi bật đường hầm và cả hai hoạt động khi tắt, vấn đề là định tuyến hoặc DNS, không phải chính sách cổng. Nếu cả hai cổng kết nối nhưng ứng dụng vẫn lỗi, lỗi nằm ở xác thực hoặc TLS, không phải khả năng tiếp cận. Và nếu chỉ một vị trí máy chủ của nhà cung cấp lỗi, đó là chính sách theo máy chủ, nên hãy thử vị trí khác trước khi chạm vào bất kỳ cấu hình nào.

Lựa chọn một: đường hầm chia tách cho mạng con cơ sở dữ liệu

Nếu máy tính xách tay chỉ cần VPN thương mại cho mục đích khác, hãy loại dải địa chỉ của cơ sở dữ liệu khỏi đường hầm để lưu lượng không bao giờ vào lối ra dùng chung. Đây là lựa chọn sạch nhất khi hai đường thực sự không cần gặp nhau, và nó không tốn gì ngoài một quy tắc định tuyến mà bạn có thể ghi lại. Sự đánh đổi là đường hầm chia tách đưa vào một bề mặt chính sách thứ hai: những gì bị loại khỏi đường hầm phải là cố ý, không phải tác dụng phụ của một mạng con mà ai đó thêm vào sau.

Nó ngừng hoạt động ngay khi cơ sở dữ liệu nằm trong mạng mà VPN phải tới, nên hãy kiểm tra điều đó trước khi cam kết.

Lựa chọn hai: điểm cuối của riêng bạn, lối ra của riêng bạn

Chạy một điểm cuối VPN nhỏ trên VPS đặt chính sách ra dưới quyền kiểm soát của bạn, và không có nhóm dùng chung nào tham gia. Đây là lựa chọn đáng so sánh một cách trung thực với ứng dụng thương mại: bạn được địa chỉ nguồn dự đoán được và mất dấu chân toàn cầu cùng sự tiện lợi của nhà cung cấp. Với một nhóm cần cổng cơ sở dữ liệu và thư cả ngày, sự đánh đổi thường nghiêng về việc sở hữu điểm cuối, vì chế độ lỗi trở thành cấu hình sai của chính bạn thay vì chính sách chống lạm dụng của người khác.

So sánh hai bên về độ ổn định của địa chỉ nguồn, về việc ai có thể đọc lưu lượng của bạn, và về điều gì xảy ra vào ngày nhà cung cấp điểm cuối thay đổi bộ lọc của chính họ.

Lựa chọn ba: đưa máy tính xách tay ra khỏi đường đi

Một tác vụ CI, một vùng chứa theo lịch, hay một máy chủ pháo đài trong mạng được phép không phụ thuộc vào trạng thái đường hầm của con người. Tới cơ sở dữ liệu qua đường hầm SSH từ một máy chủ đã được phép, và máy tính xách tay không bao giờ nói trực tiếp với cổng. Đây là lựa chọn mở rộng được khi nhiều người gặp cùng một hạn chế, và cũng là lựa chọn loại bỏ vấn đề thay vì đi vòng qua nó.

Nó đòi hỏi nhiều công việc chuẩn bị hơn một quy tắc đường hầm chia tách, và nó không giúp người duy nhất đang cần một phiên tương tác ngay bây giờ.

Vì sao đưa địa chỉ của nhà cung cấp vào danh sách cho phép là so sánh sai

Thêm địa chỉ ra của nhà cung cấp vào danh sách cho phép của cơ sở dữ liệu có tác dụng, và nó cũng cấp quyền truy cập cho mọi thuê bao khác đang chia sẻ địa chỉ đó vào thời điểm ấy. Với một bản sao chỉ đọc sau một tài khoản ứng dụng được cấp hẹp, việc lộ ra có thể chấp nhận được trong một ngày. Với bất cứ thứ gì ghi được thì đó không phải sự đánh đổi đáng gọi tên, và các địa chỉ ra luân phiên làm nó tệ hơn: mỗi lần đổi máy chủ phá vỡ quy tắc, và việc bảo trì mời gọi các mục CIDR rộng làm mất tác dụng của danh sách cho phép.

Địa chỉ chuyên dụng hoặc tĩnh, ở nơi nhà cung cấp bán chúng, là phiên bản duy nhất của điều này mở rộng được. Gắn danh sách cho phép với một địa chỉ chỉ của riêng bạn, hoặc không gắn gì cả.

Dù bạn chọn gì, hãy ghi lại đường đi và lý do. Người tiếp theo sẽ gặp đúng kết nối bị đặt lại đó và sẽ bắt đầu đổ lỗi cho ứng dụng.