PostgreSQL thar VPN: cén seoladh foinse a fheicfidh pg_hba

Ní fhoghlaimíonn PostgreSQL riamh go bhfuil cliant ar VPN. Faigheann sé nasc TCP ó sheoladh agus sraith dintiúirí, agus cinneann sé cad a dhéanfaidh sé leo. Mar sin, chun rochtain a chur ag brath ar an tollán caithfear trí chinneadh ar leith a eagrú ionas go n-aontaíonn siad, agus ansin an t-aon seoladh a fheiceann an freastalaí i ndáiríre a sheiceáil seachas an ceann a tharraing tú ar an léaráid.

Trí chinneadh nár chóir a chónascadh

Is cinneadh amháin é cá n-éisteann an freastalaí. Is dara cinneadh é cén trácht a fhéadfaidh an seoladh sin a shroicheadh, a dhéanann balla dóiteáin an óstaigh agus aon teorainn líonra os a chomhair. Is tríú cinneadh é cén t-aitheantas bunachar sonraí a fhéadfaidh fíordheimhniú ó cén fhoinse, a dhéantar in pg_hba.conf.

Cuireann comhpháirt éagsúil gach ceann acu i bhfeidhm, agus teipeann gach ceann acu le teachtaireacht éagsúil. Is é a gcónascadh i bplé an bealach a gcríochnaíonn daoine ag eagrú an chomhaid HBA chun fadhb balla dóiteáin a shocrú. Coinnigh in ord iad: ní féidir éisteoir nach bhfuil ceangailte a shroicheadh, ní féidir nascadh le port scagtha, agus ní chinneann riail HBA ach a tharlaíonn tar éis nasc a bheith ann. Nuair nach bhfuil éifeacht ag athrú, sainaithin cé acu de na trí shraith a d'athraigh tú i ndáiríre.

Cá n-éisteann an freastalaí

Ceangail le seoladh atá sannta don mheaisín i ndáiríre, ní le hainm comhéadain:

listen_addresses = '10.20.0.30'

Féadfaidh an bunachar sonraí a bheith taobh thiar den gheata VPN gan a chomhéadan tolláin féin, agus is ar an gcúis sin go baileach gurb é seoladh an rud ceart le hainmniú. Teastaíonn atosú iomlán chun an socrú seo a athrú; ní leor athlódáil.

Ansin scag an port, de ghnáth 5432, ar an óstach agus ar gach teorainn os a chomhair. Ní cruthúnas ar dhiúltú poiblí é ceangal le seoladh príobháideach, mar is féidir le seoladh port nó le mapáil seoladh scamall paicéid a sheachadadh chuig an éisteoir príobháideach sin fós.

An seoladh a fheiceann an HBA i ndáiríre

Le rochtain ródaithe feiceann an freastalaí seoladh inmheánach tolláin gach cliaint. Le haistriú foinse feiceann sé seoladh aistrithe an gheata ina ionad, agus tagann gach cliant le chéile sa luach aonair sin. Scrúdaigh an fhoinse trí fhianaise nasctha an fhreastalaí féin sula roghnaíonn tú réimír le ceadú.

Do imscaradh a úsáideann TLS agus SCRAM cheana féin, breathnaíonn sampla rochtana cianda atá cúng go leor mar seo:

hostssl appdb app_login 10.8.0.0/24 scram-sha-256
host all all 0.0.0.0/0 reject
host all all ::/0 reject

Ceadaíonn sé sin ról amháin agus bunachar sonraí amháin thar TLS ón linn a luaitear, agus ansin diúltaíonn sé rochtain TCP chianda eile. Ní ionadaí é do chomhad HBA iomlán: coinnigh riarachán áitiúil, macasamhlú agus aon tseirbhís údaraithe eile, agus cuir na rialacha cúnga roimh na ceadanna níos leithne.

Nuair a bhíonn aistriú i mbun oibre, ní féidir leis an HBA cliaint a aithint óna seoltaí bunaidh. Coinnigh ligean isteach líonra daingean agus éiligh fíordhintiúirí bunachar sonraí, agus ná cuir fíordheimhniú trust in ionad cuntais iarbhír riamh.

Buaileann an chéad chluiche, gan aon chúltaca

Léann PostgreSQL an comhad ó bharr go bun agus úsáideann sé an chéad taifead a mheaitseálann an nasc. Níl aon dara iarracht má theipeann ar fhíordheimhniú an taifid sin, mar sin bhuaileann cead leathan níos luaithe diúltú níos déanaí go ciúin.

Is é an riail ordaithe sin an chúis is coitianta nach dtagann diúltú a scríobhadh go cúramach i bhfeidhm riamh. Cuir na rialacha sonracha ar dtús agus na cinn leathana ar deireadh, agus ansin léigh an comhad mar sheicheamh seachas mar thacar. Ní polasaí é riail a chuir tú leis ag an mbun, is trácht é. Bog suas é agus athlódáil sula gcinnfidh tú go bhfuil an comhad á neamhaird.

Sainmhíníonn an tagairt HBA an t-ord agus an difríocht idir taifid host agus hostssl, rud atá tábhachtach nuair is é pointe na rialach go gcaithfidh an nasc a bheith criptithe.

Athlódáil, atosú agus an cás diúltaithe

Cuirtear athruithe HBA i bhfeidhm trí athlódáil, agus cabhraíonn an t-amharc pg_hba_file_rules leat earráidí parsála a aimsiú. Déanann an t-amharc sin cur síos ar ábhar reatha an chomhaid, ní ar cé acu a lódáil an freastalaí atá ag rith iad go rathúil, mar sin ní cruthúnas é liosta glan go bhfuil na rialacha nua beo.

Teastaíonn a n-atosú féin ó athruithe ar an éisteoir, agus is furasta an dá oibríocht a mheascadh nuair a fheictear nach bhfuil éifeacht ag athrú.

Tástáil le seisiúin úra: nascann cliant ceadaithe leis an gcuntas beartaithe, ní nascann an cuntas céanna ó chonair neamhcheadaithe, agus teipeann ar aitheantas bunachar sonraí neamhúdaraithe fós ó thaobh istigh den VPN. Scarann na trí thoradh sin an teorainn líonra ó údarú an bhunachair sonraí, agus sin an pointe iomlán a bhaineann le na cinntí a choinneáil ar leith.