MSSQL extern benaderen (veilig!) [Archief]

Piwi-Web

31/01/12, 17:06

Beste WHT'ers,

Ik zit een volgend scenario:

Locatie 1: Sittard
Verbinding: XS4ALL (4 / 1 mbit)

Locatie 2: DC
Verbinding: Gbit

Op Locatie 1 staat een databaseserver die door Navision wordt gebruikt. Op locatie 2 staat een webwinkel, non-Microsoft (lees: door mij gemaakt), die 's nachts moet kunnen synchroniseren. Het gaat hier om het direct lezen (niet schrijven!) op de MSSQL server zodat prijzen en eventueel voorraad automatisch bijgewerkt wordt.

Het probleem is dus hoe ik vanuit Locatie 2 veilig een connectie kan opzetten naar Locatie 1 en zo de MSSQL server op kan.

Zelf heb ik geen idee hoe ik dit veilig kan doen. MSSQL poort openzetten gaan we niet doen gezien er de hele administratie op staat. Ik dacht aan een VPN gezien ze er bij mijn weten wel een VPN router hebben staan, zou ik alleen moeten uitzoeken welke encryptie e.d. deze gebruikt.

Misschien heeft iemand al eens met dit bijltje gehakt?

dennis0162

31/01/12, 17:09

Je kan sowieso in je firewall rules zetten dat enkel IP-adres x.x.x.x mag connecten op MSSQL.
VPN moet ook wel lukken zonder VPN router als het niet anders kan.

gjtje

31/01/12, 18:02

Je kan prima vanuit een script een dialup verbinding (VPN) laten maken van 2 naar 1, daarna kan je via de vpn de SQL server benaderen.

Je kan ook de SQL server (1) en client (2) zo configureren dat een encrypted "sql" verbinding kan worden gemaakt, dan kan je poortje open zetten in de firewall voor het IP van 2.

Piwi-Web

31/01/12, 18:44

Je kan prima vanuit een script een dialup verbinding (VPN) laten maken van 2 naar 1, daarna kan je via de vpn de SQL server benaderen.

Je kan ook de SQL server (1) en client (2) zo configureren dat een encrypted "sql" verbinding kan worden gemaakt, dan kan je poortje open zetten in de firewall voor het IP van 2.

Ik geloof niet dat ik een encrypted sql verbinding kan starten. I.i.g. niet zonder die te tunnelen

ItsValium

31/01/12, 18:47

Ik heb dit opgezet voor een aantal van mijn klanten, wel altijd met VPN capable routers ertussen. Zo hoeven geen van beide servers een VPN/tunnel op te zetten en wordt alles afgehandeld door de routers. Beide servers kunnen elkaar rechtstreeks aanspreken via IP en indien de DNS goed opgezet op beide locaties ook via hostname. De encryptie is voor rekening van de routers.

Met iet of wat degelijke routers of appliances werkt dit super stabiel.

T. Verhaeg

31/01/12, 19:13

Dan kom je bij een encryptie d.m.v certificaten uit, iets als dit (http://msdn.microsoft.com/en-us/library/ms191192.aspx). In het verleden wel eens gedaan, werkt vrij goed. VPN is misschien de betere en makkelijkere oplossing in deze.

Piwi-Web

01/02/12, 10:54

De server is een VM dus de oplossing van ItsValium gaat niet lukken. Misschien 2 x openVPN en klaar?

systemdeveloper

01/02/12, 11:52

Je kunt op de windows bak in sittard ook gewoon een ssh servertje starten ( freesshd of zo ) en dan een simpel ssh tunneltje opzetten vanaf de server om de boel over te trekken. Veel wegen leiden naar rome de server

Piwi-Web

01/02/12, 12:21

Je kunt op de windows bak in sittard ook gewoon een ssh servertje starten ( freesshd of zo ) en dan een simpel ssh tunneltje opzetten vanaf de server om de boel over te trekken. Veel wegen leiden naar rome de server

Hmmm... Dat klinkt inderdaad ook wel goed :)