Publiczny adres IP

Publiczny adres IP identyfikuje serwer w internecie — jego bezpośrednie wystawienie dla SQL Server jest odradzane.

Rola publicznego adresu IP w komunikacji internetowej

Publiczny adres IP to adres przydzielany urządzeniu lub interfejsowi sieciowemu w taki sposób, aby mógł być osiągalny z internetu, o ile pozwalają na to konfiguracja zapory sieciowej, reguły translacji adresów oraz ustawienia samej usługi. Adres ten jest używany przez routery znajdujące się w sieci operatorów do przekazywania pakietów między siecią lokalną a internetem. W przeciwieństwie do adresów prywatnych, takich jak zakresy IPv4 10.0.0.0/8, 172.16.0.0/12 i 192.168.0.0/16, publiczny adres IP nie jest przeznaczony wyłącznie do komunikacji wewnątrz jednej sieci lokalnej.

Publiczny adres IP nie identyfikuje automatycznie konkretnego programu ani użytkownika. Wskazuje punkt sieciowy, do którego może trafić ruch, natomiast wybór urządzenia i usługi zależy od dalszej konfiguracji. Router może przekierowywać określony port do komputera w sieci lokalnej, a zapora może ten ruch zaakceptować albo odrzucić. Przy adresach IPv4 często stosuje się NAT, czyli translację adresów sieciowych. W takim układzie wiele urządzeń korzysta z jednego publicznego adresu, podczas gdy wewnątrz sieci posługują się adresami prywatnymi.

Dlaczego wystawienie usługi na publiczny adres zwiększa ryzyko

Samo posiadanie publicznego adresu IP nie oznacza jeszcze, że komputer jest bezpośrednio dostępny dla każdego połączenia. Ryzyko powstaje wtedy, gdy na tym adresie zostanie udostępniony port, a działająca usługa będzie przyjmowała połączenia z internetu. Każdy taki punkt może być wykrywany przez automatyczne skanery, które sprawdzają zakresy adresów i próbują rozpoznać dostępne usługi. Ochrona wymaga więc nie tylko ukrycia adresu, lecz przede wszystkim ograniczenia dostępu, prawidłowej konfiguracji zapory i aktualizowania oprogramowania.

W przypadku Microsoft SQL Server bezpośrednie udostępnienie instancji w internecie jest rozwiązaniem ryzykownym, ponieważ silnik bazy danych może stać się celem prób logowania, wykorzystania błędów konfiguracji albo ataków na nieaktualne komponenty. Standardowy port używany przez domyślną instancję SQL Server to TCP 1433, ale port nie jest mechanizmem uwierzytelniania ani ochrony. Zmiana numeru portu może ograniczyć część prostych skanów, lecz nie zastępuje kontroli dostępu. O wiele istotniejsze jest dopuszczanie połączeń wyłącznie z określonych adresów, stosowanie szyfrowania oraz ograniczenie usług do niezbędnego zakresu.

Publiczny adres IP a dostęp do Microsoft SQL Server

Jeżeli aplikacja musi łączyć się z SQL Server spoza sieci lokalnej, należy najpierw ustalić, czy potrzebny jest bezpośredni dostęp do silnika bazy. Często bezpieczniejszy model polega na udostępnieniu aplikacji pośredniczącej, która wykonuje kontrolowane operacje na danych, zamiast otwierania portu bazy dla dowolnych klientów. Gdy połączenie do SQL Server jest konieczne, reguły zapory powinny ograniczać źródłowe adresy IP i zezwalać tylko na wymagany protokół oraz port. Należy także sprawdzić, czy router nie prowadzi szerszego przekierowania niż zakładano.

Konfiguracja wymaga rozróżnienia publicznego adresu routera od prywatnego adresu komputera, na którym działa SQL Server. Przekierowanie portu kieruje ruch z interfejsu publicznego do wskazanego hosta wewnętrznego, ale nie rozwiązuje kwestii uprawnień. Konta używane przez aplikacje powinny mieć tylko uprawnienia potrzebne do wykonywania określonych operacji, a nie pełne uprawnienia administracyjne. Warto również sprawdzić dzienniki zapory i SQL Server, aby potwierdzić, z jakich adresów przychodzą połączenia, czy występują nieudane próby logowania oraz czy usługa nie nasłuchuje na dodatkowych interfejsach lub portach.

Sprawdzenie adresacji i ograniczenie niepotrzebnego dostępu

Diagnostykę rozpoczyna się od ustalenia, jaki adres widzi urządzenie w sieci lokalnej, jaki adres jest przypisany interfejsowi routera oraz czy operator stosuje dodatkową translację, na przykład CGNAT. W przypadku CGNAT publiczny adres może być współdzielony przez wielu abonentów, a przychodzące przekierowanie portów może nie działać w sposób oczekiwany. Sam wynik polecenia pokazującego adres na komputerze nie zawsze wskazuje publiczny adres używany przez router. Trzeba zatem porównać konfigurację urządzenia sieciowego z obserwowanym adresem po stronie połączenia internetowego.

W środowisku, w którym publiczny dostęp do bazy nie jest konieczny, właściwym działaniem jest usunięcie przekierowania portu i zablokowanie nieużywanych reguł zapory. Jeżeli dostęp zdalny pozostaje wymagany, należy ograniczyć go do konkretnych źródeł, używać szyfrowanego kanału oraz regularnie kontrolować konfigurację po zmianach operatora, routera lub serwera. Warszawskie Pogotowie Komputerowe wykonuje profesjonalną naprawę laptopów, komputerów PC i podzespołów, a w ramach diagnostyki sprzętu można również sprawdzić podstawowe problemy z kartą sieciową, konfiguracją połączenia i komunikacją komputera z routerem.