Tollán SSH QGIS PostGIS: coinnigh ainm an fhreastalaí le haghaidh TLS

Tagann an tollán aníos, nascann QGIS, agus faigheann an logáil isteach bás le hearráid teastais a ainmníonn 127.0.0.1 in ionad óstach an bhunachair sonraí. Is é an chéad chéim mhealltach eile sslmode a scaoileadh, rud a chuireann an tseiceáil ina tost agus a chaithfidh an ráthaíocht féiniúlachta a bhí uait sa chéad áit. Is é an fíorfhadhb ná go stóráiltear an port áitiúil agus ainm an fhreastalaí sa réimse céanna. Scarann iontráil seirbhíse libpq iad, mar sin téann an soicéad chuig an port aistrithe agus deimhníonn TLS fós an t-ainm atá priontáilte ar an teastas.

Cad a cheapann an cliant go bhfuil sé ag nascadh leis

Faoi sslmode=verify-full, cuireann libpq an teastas a thaispeánann an freastalaí i gcomparáid leis an ainm óstaigh a iarradh. Nuair is seoladh loopback an t-ainm sin, teipeann an chomparáid cé go bhfuil an teastas bailí d’fhíoróstach an bhunachair sonraí. Athraíonn aistriú SSH cé an soicéad a iompraíonn na bearta, ní an fhéiniúlacht ar cheart don chliant a bheith ag súil léi. Nuair a scarann an dá smaoineamh sin, ní fhéachann an earráid cosúil le locht TLS a thuilleadh.

Ní údarú é aistriú ach an oiread. Cuireann PostgreSQL a rialacha féin i bhfeidhm fós ar an nasc a dhéanann an freastalaí SSH, mar sin coinnigh an tsraith iompair agus an tsraith bhunachair sonraí scartha sula n-athraíonn tú aon rud.

Ceangail an t-aistriú le loopback amháin

Ba cheart go mbeadh an t-éisteoir ar mheaisín QGIS agus áit ar bith eile. Coinníonn luaiteachas 127.0.0.1 go sainráite amach ó na comhéadain eile é, agus d’fhéadfadh seoladh ceangail a fhágtar ar lár an port a nochtadh ag brath ar shocruithe geata an chliaint SSH.

ssh -N -L 127.0.0.1:15432:127.0.0.1:5432 [email protected]

Réitítear an ceann scríbe i ndiaidh an dara colon ó thaobh an fhreastalaí SSH de, mar sin glacann an sampla seo go bhfuil PostgreSQL ar an óstach céanna le sshd; teastaíonn an seoladh sin agus a chuid ceadanna ó bhunachar sonraí ar mheaisín eile. Seol an seisiún le -N ionas nach n-osclófar aon bhlaosc, fág an tseiceáil eochair óstaigh mar atá, agus deimhnigh go dtagann an t-éisteoir chun solais sula gcuireann tú an milleán ar QGIS. Má tá an port in úsáid cheana, teipeann an t-aistriú ag am tosaithe seachas ag am an cheist.

Cuir an t-ainm agus an soicéad in aon iontráil seirbhíse amháin

Ligeann comhad seirbhíse don nasc céanna ainm fíoraithe agus ceann scríbe soicéid difriúil a iompar. Sábháil an iontráil san áit a lorgaíonn libpq seirbhísí, nó cuir PGSERVICEFILE i dtreo í.

[gis-via-ssh]
host=db.geo.example
hostaddr=127.0.0.1
port=15432
dbname=gisdb
user=gis_reader
sslmode=verify-full
gssencmode=disable
sslrootcert=/path/to/approved-root.crt

Anseo coinníonn host an fhéiniúlacht a úsáidtear le haghaidh seiceálacha teastais agus hostaddr seolann sé paicéid chuig an port loopback aistrithe, agus tá an dá rud de dhíth chun an socrú seo a oibriú. gssencmode=disable tábhachtach i mbunleaganacha a dhéanfadh criptiú GSSAPI a idirbheartú ar dtús murach sin, mar ní thugann an cosán sin aird ar na socruithe TLS a socraíodh anois díreach. Déan tagairt don tseirbhís de réir ainm ón dialóg nasctha PostgreSQL i QGIS agus tabhair an focal faire tríd an ngnáth-leid, ní taobh istigh de chomhad roinnte. Is ionadaithe iad na hainmneacha agus na cosáin thuas; cuir do chuid luachanna ceadaithe féin ina n-ionad.

Cad a sheiceálann PostgreSQL fós tar éis an tolláin

Feiceann an freastalaí nasc ó óstach SSH, loopback sa socrú seo, agus meaitseálann sé in ord é leis na rialacha fíordheimhnithe bunaithe ar óstach. Caithfidh do ról bunachair sonraí fíordheimhniú fós, agus ní thugann logáil isteach SSH aon fhéiniúlacht bunachair sonraí ann féin. Fíoraigh an rud a chreideann an freastalaí seachas an rud a ghlac an cliant leis.

psql "service=gis-via-ssh" -c "select inet_server_addr(), current_user"

Dún an seisiún aistrithe nuair a bhíonn an obair críochnaithe; stopann an iontráil áitiúil ag obair ansin agus ní athraíonn aon rud eile. Ní VPN é cosán amháin chuig an mbunachar sonraí don chliant GIS ar fad, agus is é a chaitheamh mar sin an chaoi a ndéantar an chéad nasc eile a mhí-dhiagnóisiú.