MySQL trí VPN: fíoraigh an freastalaí, ní hamháin an chriptiú

Sábhálann tú nasc chuig 10.20.4.15, titeann an VPN, agus nascann an cliant fós. Ní dea-scéal é sin. Is suíomh é seoladh príobháideach laistigh de gach comhthéacs ródaithe ina bhfuil tú, agus úsáideann go leor líonraí na raonta céanna. Shroich an cliant freastalaí MySQL, b’fhéidir nach ndearna sé do cheannsa.

Tá dhá leath sa leigheas, agus ní bhaineann ach ceann amháin díobh leis an líonra. Coinnigh an nasc ar a chonair bheartaithe, agus déan an cliant a fhíorú ar an bhfreastalaí a bhfuil sé ag caint leis. Is í an chéad leath an áit a gcabhraíonn VPN; caithfear an dara leath a chumrú.

Criptithe chuig cad, go beacht?

Cosnaíonn TLS an comhrá ar gach duine sa lár agus ní deir sé faic faoi cé atá ag maíomh gurb é an críochphointe é mura seiceálann an cliant é. Cruthaíonn deimhniú a bhailíonn in aghaidh údaráis iontaofa go dtagann an deimhniú ón údarás sin. Ní chruthaíonn sé gur eisíodh an deimhniú don ainm óstaigh a raibh tú ag iarraidh a bhaint amach, agus is ceisteanna difriúla iad sin.

Ní bearna theoiriciúil é seo. Cruthaíonn tairseacha captive, botúin le VRF mícheart agus pleananna seoladh atá ag forluí freastalaí atá go hiomlán sásta TLS a chaibidliú leat. Má éilíonn an cliant criptiú amháin, tá an seisiún príobháideach agus dírithe ar an mbunachar sonraí mícheart.

Mar sin, ní hé an cheist ábhartha an bhfuil an nasc criptithe, ach an bhfuil sé criptithe chuig an bhféiniúlacht a bhí beartaithe agat. I gcliant MySQL, maireann an t-idirdhealú sin go hiomlán sa socrú ssl-mode.

Na cúig luach ssl-mode i bhfeidhm

Tá cúig luach ann, agus ní fhreagraíonn ach ceann acu ceist an lámhleabhair seo. Liostaíonn an tábla a ndéanann gach ceann a ráthú i ndáiríre, seachas a bhfuil a ainm ag tabhairt le tuiscint.

Ní fhreagraíonn ach an tsraith dheireanach ceist an ailt seo. PREFERRED is fiú a aird a tharraingt air ann féin, mar is measa cliant a thiteann go ciúin chuig téacs simplí ná ceann a dhiúltaíonn: creideann tú go bhfuil criptiú agat agus ní aontaíonn an ghabháil paicéad.

Nasc is féidir leat a rith inniu

Is é an t-ordú thíos an fhoirm le húsáid, le dhá áitsealbhóir: ainm an bhunachair sonraí ceadaithe agus comhad CA a fuarthas trí chainéal ceadaithe. Níor cheart ceachtar acu a thógáil ón méid a thairgeann an freastalaí duit ar an gcéad teagmháil.

mysql --host=db.corp.example --user=app_reader \
  --ssl-mode=VERIFY_IDENTITY \
  --ssl-ca=/approved/path/ca.pem --password

--password gan luach iarrann sé ionchur, rud a choinníonn an rún as an liosta próiseas agus as stair do bhlaosc. Is nós beag é le toradh mór ar óstaigh léim roinnte, áit a bhfuil líne ordaithe le feiceáil ag úsáideoirí eile.

Nuair a theipeann air seo, idirdhealaíonn téacs na hearráide na cásanna níos fearr ná an tsiatacht. Ciallaíonn teip CA nach bhfíoraítear an slabhra agus gur cheart duit féachaint cé acu CA a shínigh deimhniú an fhreastalaí. Ciallaíonn teip ainm óstaigh go bhfuil an slabhra ceart agus nach n-oireann an t-ainm, rud a chiallaíonn de ghnáth gur nasc tú leis an bhfreastalaí ceart faoin ainm mícheart seachas leis an bhfreastalaí mícheart.

Ní cruthúnas é prompt a fheiceáil go bhfuil pasfhocal tarchurtha cheana féin, agus ní chruthaíonn nasc teipthe nár fhág aon rud an cliant. Má tá tú ag atógáil teagmhais roimhe seo, sainaithin an cliant, a chumraíocht, an breiseán fíordheimhnithe agus an chéim a theip. Is buille faoi thuairim é nochtadh a mheas ón teachtaireacht earráide deiridh.

Nuair a thagann an t-ainm ó thollán

Briseann comhshó port áitiúil an tseiceáil féiniúlachta ar bhealach a chuireann ionadh ar dhaoine. Má chomhshóann tú port áitiúil chuig an mbunachar sonraí agus má nascann tú le localhost, bailíonn an cliant an deimhniú i gcoinne localhost, agus níor eisíodh aon deimhniú don ainm sin. D’fhéadfadh an nasc a bheith go hiomlán sábháilte agus teipfidh an fhíorú mar sin féin, rud is ea an tseiceáil ag feidhmiú mar a bhí beartaithe.

Tá dhá fhreagra mhacánta ann. Tabhair don chríochphointe comhshóite ainm a réitíonn chuig an seoladh lúbchúil agus a thagann chun solais i ndeimhniú an fhreastalaí, nó bain úsáid as an ainm óstaigh ó thús deireadh ionas go bhfíoraíonn an cliant an fhíor-fhéiniúlacht. Tá an chéad cheann áisiúil d’fhorbróirí agus teastaíonn obair deimhnithe uaidh; tá an dara ceann níos simplí le réasúnaíocht agus go minic an réamhshocrú ceart le haghaidh uathoibriúcháin. Trí fhíorú a dhíchumasú chun an comhshó a chur ag obair, caithfear amach an mhaoin a bhí á cur agat leis.

Is trí choinníoll iad glacadh

Scríobh an tástáil ghlactha mar thrí ráiteas ar leith: d’úsáid an nasc an bealach beartaithe, bhí criptiú éilithe seachas tosaíochta, agus fíoraíodh féiniúlacht an fhreastalaí i gcoinne ábhar iontaofa. Ní shocraíonn deilbhín VPN glas aon cheann acu.

Maidir le cliaint GUI agus le MariaDB, seiceáil doiciméadú an díoltóra féin seachas glacadh leis go n-aistrítear litriú an bhrataigh. Tá an doiciméadú MySQL ar naisc chriptithe ag clúdach na ndifríochtaí idir mhóid agus an ceanglas maidir le dáileadh CA, agus is é an tagairt é le seiceáil sula n-athraíonn tú teaghrán naisc táirgthe.