Firebird 3 draadfersifering en de VPN binne twa ferskillende grinzen

De VPN ferbynt, de klient iepenet in sesje, en elkenien nimt oan dat de databaseferbining befeilige is. Trije ferskillende dingen binne krekt trochinoar helle. Oft de listener hielendal berikber is, oft de tsjinner de brûker akseptearre hat, en oft Firebird draadfersifering úthannele hat, binne aparte meganismen mei apart bewiis. In tunnel beantwurdet allinnich it earste, en allinnich foar de boarnen dy't jo tastien hawwe.

Twa grinzen dy't inoar net oerlappe

De VPN-grins beskermet pakketten tusken in klient en in gateway. De draadfersifering fan Firebird beskermet it databaseprotokol tusken de kliïntbibleteek en it tsjinnerproses. Beide kinne oanwêzich wêze, en gjinien ferfangt de oare.

As de tunnel einiget foar de databasehost, wurdt it ferkear dêrefter allinnich beskerme troch wat de databasesesje úthannele hat. Krekt yn dy kleau fynt in resinsje meastentiids de ferrassing. It tunneldiagram einiget by in gateway, en de ferbining dy't jo query draacht giet dêr foarby. Elkenien dy't dat diagram letter lêst, erft de oanname.

Grins ien: wa't de listener iepenje mei

Identifisearje it echte tsjinneradres en de konfigurearre poarte, dy't 3050 is as er net feroare is, en stean dan allinnich de goedkarde VPN-boarnen ta by de host- en netwurkfirewalls. Hâld rekken mei elke adresoersetting by de VPN-gateway, en jou de databasehost in weromrûte nei de kliïntpool as de gateway apart is.

Bewiis dan it negative. In eksterne paad dat wegere wurde moat, moat noch altyd wegere wurde, want it iepenjen fan de tunnel beheint de Firebird-listener op himsels net.

Grins twa: wat Firebird úthannelet

Firebird 3 yntrodusearre in ramt foar draadfersifering mei in tsjinnerbelied dat útskeakele, ynskeakele of ferplicht wêze kin. It belied set de flier. De werklike sesje hinget noch altiten ôf fan 'e kliïntbibleteek dy't de applikaasje laadt en fan 'e plug-ins dy't beide kanten stypje.

Yn de útjefte-notysjes fan Firebird 3 wurdt Arc4 neamd as de standert plug-in foar draadfersifering foar dy útjefte. Arc4 is in histoaryske standert, gjin oanbefelling foar moderne sifering, en it is net itselde as de bûtenste VPN-beskerming.

Autentikaasje is in tredde fariabele yn deselde úthanneling. De tsjinner akseptearret in set autentikaasje-plug-ins, de kliïntbibleteek biedt in dielferzameling oan, en de beide moatte inoar oerlappe.

De Legacy_Auth-falstrik

It stypjen fan Legacy_Auth fereasket it ferskepjen fan it standert ferplichte fersiferingsbelied fan 'e tsjinner. Dat binne de dokumintearre kompatibiliteitskosten, en dêrom is it ferleegjen fan it belied om in ferbiningsflater stil te meitsjen in feiligensferoaring en gjin reparaasje.

As in klient nei in tsjinnerupgrade hommels mislearret, fergelykje dan de plug-inlisten foardat jo eat ferswakje. De mislearring is meastentiids in úthannelingsferskil, en it antwurd is in stipe plug-in oan beide kanten.

Kontrolearje de ferbining dêr't it om giet

Op in build dy't de kontekstfariabele leveret, rapportearret dizze query de fersiferingsstatus fan 'e hjoeddeiske ferbining:

SELECT RDB$GET_CONTEXT('SYSTEM', 'WIRE_ENCRYPTED')
FROM RDB$DATABASE;

Rin it troch de eigen ferbining fan 'e applikaasje, net troch in administratorseje op deselde tsjinner. In fersifere admin-ferbining seit neat oer de sesje fan in oare kliïntbibleteek, en in âldere build dy't de fariabele net stypet is gjin bewiis dat fersifering út is.

Skriuw de ferzje fan 'e kliïntbibleteek, de build fan 'e tsjinner en it resultaat byinoar, want gjinien dêrfan allinnich is lêsber.

Rjochten en it upgrade-paad

It beheinen fan boarnen en it fersiferjen fan ferfier ferfange gjin autentikaasje of rjochten fan minste foarrjocht. Kontrolearje de tastimmingen fan 'e gewoane databasebrûker op 'e objekten dy't er wier oanrekket.

Behannelje úteinlik in langduorjende ynset as in ûnderhâldsfraach. In tunnel makket in ferâldere kliïntbibleteek net ûnbeheind feilich, en in stipe upgrade-paad is goedkeaper as te ûntdekken dat de plug-in dy't it nedich hat fuorthelle is.