PostgreSQL ta VPN: wane adireshin tushe pg_hba zai gani

PostgreSQL ba ya taba sanin cewa abokin ciniki yana kan VPN. Yana karbar haɗin TCP daga adireshi da saitin takardun shaida, sannan ya yanke shawarar abin da zai yi da su. Don haka danganta shiga da ramin yana nufin tsara yanke shawara uku daban-daban domin su daidaita, sannan a duba adireshin daya da uwar garken ke gani da gaske maimakon wanda ka zana a zane.

Yanke shawara uku da ba za su haɗu ba

Inda uwar garken ke saurare yanke shawara daya ce. Wane zirga-zirge zai iya isa wannan adireshin shi ne na biyu, wanda tacewar wutar mai masaukin da kowace iyakar cibiyar sadarwa da ke gabanta suka yanke. Wane asalin rumbun adana bayanai zai iya tantancewa daga wane tushe shi ne na uku, wanda aka yanke a cikin pg_hba.conf.

Kowannensu wani bangare daban ne ke aiwatar da shi, kuma kowannensu yana kasawa da wata saƙo daban. Haɗa su a cikin tattaunawa shi ne yadda mutane suke gama gyara fayil din HBA don gyara matsalar tacewar wuta. Ka rike su cikin tsari: mai sauraren da ba a daure shi ba ba za a iya isa gare shi ba, ba za a iya haɗawa da tashar da aka tace ba, kuma ka'idar HBA tana yanke shawara ne kawai kan abin da ke faruwa bayan an sami haɗi. Idan canji bai da wani tasiri, gano wanne daga cikin matakai uku ka canza da gaske.

Inda uwar garken ke saurare

Ka daure zuwa adireshin da aka ware wa injin da gaske, ba sunan interface ba:

listen_addresses = '10.20.0.30'

Rumbun adana bayanai na iya zama a bayan ƙofar VPN ba tare da nasa interface na rami ba, kuma wannan shi ne ainihin dalilin da adireshi ya dace a ambata. Canza wannan saitin yana buƙatar cikakken sake farawa; sake lodawa bai isa ba.

Sannan ka tace tashar, yawanci 5432, a kan mai masauki da kowace iyaka da ke gabanta. Daure zuwa adireshin sirri ba hujja ba ce ta ƙin jama'a, domin turawa ta tasha ko taswirar adireshin gajimare na iya har yanzu isar da fakiti ga wannan mai sauraren sirri.

Adireshin da HBA ke gani da gaske

Da shiga ta hanyar da aka tsara uwar garken tana ganin adireshin ramin ciki na kowane abokin ciniki. Da fassarar tushe tana ganin adireshin ƙofar da aka fassara maimakon haka, kuma kowane abokin ciniki yana faɗuwa cikin wannan ƙima ɗaya. Bincika tushen ta hanyar shaidar haɗin uwar garken kanta kafin ka zaɓi prefiks da za a ba da izini.

Ga turawar da ta riga ta yi amfani da TLS da SCRAM, misalin shiga nesa da aka yi da gangan kunkuntar yana kama da haka:

hostssl appdb app_login 10.8.0.0/24 scram-sha-256
host all all 0.0.0.0/0 reject
host all all ::/0 reject

Wannan yana ba da izinin rawani ɗaya da rumbun adana bayanai ɗaya bisa TLS daga tafkin da aka ambata, sannan ya ƙi sauran shigar TCP ta nesa. Ba shi ne maye gurbin cikakken fayil din HBA ba: ka rike gudanarwar gida, kwafi da duk wata hidima da aka ba da izini, kuma sanya ka'idojin kunkuntar kafin manyan izini.

Lokacin da fassara ke aiki, HBA ba za ta iya bambance abokan ciniki da adireshinsu na asali ba. Ka rike shigar cibiyar sadarwa da tsauri kuma ka buƙaci ainihin takardun shaidar rumbun adana bayanai, kuma kada ka taɓa maye gurbin tantancewar trust da ainihin asusu.

Wanda ya fara dacewa yake cin nasara, ba tare da madadi ba

PostgreSQL yana karanta fayil din daga sama zuwa kasa kuma yana amfani da rikodin farko da ya dace da haɗin. Babu wani ƙoƙari na biyu idan tantancewar wannan rikodin ta kasa, don haka wani faffadan izini na baya yana cin nasara a hankali kan wani ƙin da ya zo daga baya.

Wannan ka'idar tsari ita ce mafi yawan dalilin da ya sa ƙin da aka rubuta a hankali ba ya taɓa aiki. Sanya takamaiman ka'idoji a farko da manyan a ƙarshe, sannan ka karanta fayil din a matsayin jeri ba saiti ba. Ka'idar da ka ƙara a ƙasa ba manufa ba ce, sharhi ce. Ka motsa ta sama ka sake lodawa kafin ka yanke shawarar cewa ana watsi da fayil din.

Bayanin HBA yana bayyana duka tsari da bambanci tsakanin rikodin host da hostssl, wanda ke da mahimmanci lokacin da maganar ka'idar ita ce haɗin dole ne ya kasance a ɓoye.

Sake lodawa, sake farawa da yanayin ƙin

Ana aiwatar da canje-canjen HBA ta hanyar sake lodawa, kuma kallon pg_hba_file_rules yana taimaka maka samun kurakuran nazari. Wannan kallon yana bayanin abin da ke cikin fayil din a halin yanzu, ba ko uwar garken da ke gudana ya loda su cikin nasara ba, don haka tsaftataccen jeri ba hujja ba ce cewa sabbin ka'idoji suna aiki.

Canje-canjen mai saurare suna buƙatar nasu sake farawa, kuma ana iya rikicewa tsakanin ayyukan biyu cikin sauƙi lokacin da canji ya nuna ba shi da wani tasiri.

Gwada da sabbin zama: abokin ciniki da aka amince da shi tare da asusun da ake nufi yana haɗawa, asusun ɗaya daga hanyar da ba a amince da ita ba ya haɗa, kuma asalin rumbun adana bayanai mara izini har yanzu yana kasawa daga cikin VPN. Waɗannan sakamakon uku sun raba iyakar cibiyar sadarwa daga izinin rumbun adana bayanai, wanda shi ne duk manufar rike yanke shawara daban.