PostgreSQL VPN baten bidez: zein iturburu-helbide ikusiko du pg_hba-k

PostgreSQL-k ez du inoiz jakiten bezero bat VPN batean dagoenik. Helbide batetik TCP konexio bat eta kredentzial multzo bat jasotzen ditu, eta haiekin zer egin erabakitzen du. Beraz, sarbidea tunelaren mende jartzeak hiru erabaki bereizi adostasunean jartzea esan nahi du, eta gero diagraman marraztu duzun helbidearen ordez zerbitzariak benetan ikusten duen helbide bakarra egiaztatzea.

Batu behar ez diren hiru erabaki

Zerbitzariak non entzuten duen erabaki bat da. Zein trafiko irits daitekeen helbide horretara bigarren bat da, hostaren suebakiak eta haren aurreko edozein sare-mugak hartua. Zein datu-base identitatek zein iturburutik autentifika dezakeen hirugarren bat da, pg_hba.conf fitxategian hartua.

Bakoitza osagai desberdin batek betetzen du, eta bakoitzak mezu desberdin batekin egiten du huts. Eztabaida batean berauek batzeak jendea suebaki arazo bat konpontzeko HBA fitxategia editatzen amaitzea dakar. Mantendu ordenan: lotuta ez dagoen entzule bat ezin da iritsi, iragazitako portu batera ezin da konektatu, eta HBA arau batek konexioa existitu ondoren zer gertatzen den soilik erabakitzen du. Aldaketa batek eraginik ez duenean, identifikatu hiru geruzetariko zein aldatu duzun benetan.

Zerbitzariak non entzuten duen

Lotu makinari benetan esleituta daukion helbide batera, eta ez interfaze-izen batera:

listen_addresses = '10.20.0.30'

Datu-basea VPN atebidearen atzean egon daiteke bere tunel-interfazerik gabe, eta horrexegatik da helbidea izendatzeko gauza egokia. Ezarpen hau aldatzeak berrabiarazte osoa eskatzen du; berriz kargatzeak ez du nahikoa.

Gero iragazi portua, normalean 5432, hostean eta haren aurreko muga guztietan. Helbide pribatu batera lotzea ez da ukapen publikoaren froga, portu-birbidalketa batek edo hodeiko helbide-mapatzeak oraindik paketeak entzule pribatu horri entregatu baititzake.

HBA-k benetan ikusten duen helbidea

Bideratutako sarbidearekin zerbitzariak bezero bakoitzaren barne-tunel helbidea ikusten du. Iturburu-itzulpenarekin, berriz, atebidearen helbide itzulia ikusten du, eta bezero guztiak balio bakar horretan erortzen dira. Aztertu iturburua zerbitzariaren beraren konexio-frogak erabiliz, baimenduko duzun aurrizkia aukeratu aurretik.

Dagoeneko TLS eta SCRAM erabiltzen dituen hedapen baterako, nahita estua den urruneko sarbide-adibide bat horrela da:

hostssl appdb app_login 10.8.0.0/24 scram-sha-256
host all all 0.0.0.0/0 reject
host all all ::/0 reject

Horrek rol bat eta datu-base bat baimendu ditu TLS bidez adierazitako multzotik, eta gero beste urruneko TCP sarbidea ukatzen du. Ez du HBA fitxategi osoa ordezkatzen: mantendu tokiko administrazioa, erreplikazioa eta baimendutako beste edozein zerbitzu, eta jarri arau estuak baimen zabalagoen aurretik.

Itzulpena jokoan dagoenean, HBA-k ezin ditu bezeroak beren jatorrizko helbideen arabera bereizi. Mantendu sare-sarrera estua eta eskatu benetako datu-base kredentzialak, eta inoiz ez ordezkatu trust autentifikazioa benetako kontu batekin.

Lehen kointzidentziak irabazten du, ordezko gabe

PostgreSQL-k fitxategia goitik behera irakurtzen du eta konexioarekin bat datorren lehen erregistroa erabiltzen du. Ez dago bigarren saiakera erregistro horren autentifikazioak huts egiten badu, beraz, aurreko baimen zabal batek isilean garaitzen du geroagoko ukapen bat.

Ordena-arau hori da arretaz idatzitako ukapen bat inoiz indarrean jartzen ez den arrazoi arruntena. Jarri arau zehatzak lehen eta zabalak azken, eta gero irakurri fitxategia segida gisa, multzo gisa baino. Behealdean gehitu duzun araua ez da politika bat, iruzkin bat da. Mugitu gora eta berriz kargatu fitxategia alde batera uzten ari delako ondorioa atera aurretik.

HBA erreferentziak bai ordena bai host eta hostssl erregistroen arteko aldea definitzen ditu, eta hori garrantzitsua da arauaren xedea konexioa zifratuta egon behar izatea denean.

Berriz kargatzea, berrabiaraztea eta ukapenaren kasua

HBA aldaketak berriz kargatzearekin aplikatzen dira, eta pg_hba_file_rules ikuspegiak analisi-erroreak aurkitzen laguntzen dizu. Ikuspegi horrek fitxategiaren uneko edukia deskribatzen du, ez exekuzioan dagoen zerbitzariak ondo kargatu dituen, beraz zerrenda garbia ez da arau berriak aktibo daudenaren froga.

Entzulearen aldaketek beren berrabiaraztea behar dute, eta bi eragiketak erraz nahasten dira aldaketak eraginik ez duela ematen duenean.

Probatu saio berriekin: onartutako bezero bat aurreikusitako kontuarekin konektatzen da, kontu bera onartu gabeko bide batetik ez, eta baimenik gabeko datu-base identitate batek huts egiten du oraindik VPN barrualdetik. Hiru emaitza horiek sare-muga datu-base baimenaz bereizten dute, eta hori da erabakiak bereizita edukitzearen xede osoa.