Firebird 3 сымдық шифрлауы мен VPN екі бөлек шекара

VPN қосылады, клиент сессия ашады және барлығы дерекқор қосылымы қорғалған деп болжайды. Жаңа ғана үш түрлі нәрсе шатастырылды. Тыңдаушының мүлде қолжетімді болуы, сервердің пайдаланушыны қабылдауы және Firebird-тің сымдық шифрлау туралы келісуі жеке механизмдер және жеке дәлелдер. Туннель тек біріншісіне жауап береді және тек сіз рұқсат еткен көздер үшін.

Екі шекара және олар қабаттаспайды

VPN шекарасы клиент пен шлюз арасындағы пакеттерді қорғайды. Firebird сымдық шифрлауы клиент кітапханасы мен сервер процесі арасындағы дерекқор протоколын қорғайды. Екеуі де болуы мүмкін және ешқайсысы екіншісін алмастырмайды.

Егер туннель дерекқор хостының алдында аяқталса, одан әрі трафикті тек дерекқор сессиясы келіскен нәрсе қорғайды. Дәл осы жікте шолу әдетте тосынсыйды табады. Туннель диаграммасы шлюзде аяқталады, ал сұрауыңызды тасымалдайтын қосылым одан әрі жалғасады. Бұл диаграмманы кейін оқыған адам осы болжамды мұра етеді.

Бірінші шекара: тыңдаушыны кім аша алады

Нақты сервер мекенжайын және конфигурацияланған портты анықтаңыз, ол өзгертілмесе 3050, содан кейін хост пен желі брандмауэрлерінде тек бекітілген VPN көздеріне рұқсат беріңіз. VPN шлюзіндегі кез келген мекенжай аудармасын ескеріңіз және шлюз бөлек болса, дерекқор хостына клиент пулына қайту маршрутын беріңіз.

Содан кейін терісті дәлелдеңіз. Бас тартылуы тиіс сыртқы жол бас тартылған күйде қалуы керек, өйткені туннельді ашу Firebird тыңдаушысын өздігінен шектемейді.

Екінші шекара: Firebird не туралы келіседі

Firebird 3 өшірілуі, қосылуы немесе міндетті болуы мүмкін сервер саясатымен сымдық шифрлау негізін енгізді. Саясат төменгі шекті белгілейді. Нақты сессия әлі де қосымша жүктейтін клиент кітапханасына және екі жақ қолдайтын плагиндерге байланысты.

Firebird 3-тің шығарылым жазбаларында Arc4 сол шығарылым үшін әдепкі сымдық шифрлау плагині ретінде көрсетілген. Arc4 тарихи әдепкі мән, заманауи шифр ұсынысы емес және ол сыртқы VPN қорғанысымен бірдей емес.

Аутентификация сол келіссөздегі үшінші айнымалы. Сервер аутентификация плагиндерінің жиынын қабылдайды, клиент кітапханасы оның ішкі жиынын ұсынады және екеуі қабаттасуы керек.

Legacy_Auth тұзағы

Legacy_Auth-ты қолдау сервердің әдепкі міндетті шифрлау саясатын босаңсытуды талап етеді. Бұл құжатталған үйлесімділік құны және сондықтан қосылым қатесін тыныштандыру үшін саясатты төмендету түзету емес, қауіпсіздік өзгерісі.

Егер сервер жаңартылғаннан кейін клиент кенеттен сәтсіздікке ұшыраса, бірдеңені әлсіретудің алдында плагин тізімдерін салыстырыңыз. Сәтсіздік әдетте келіссөз сәйкессіздігі және жауап екі жақта да қолдау көрсетілетін плагин.

Маңызды қосылымды тексеріңіз

Контекст айнымалысын ұсынатын құрастыруда бұл сұрау ағымдағы қосылымның шифрлау күйін хабарлайды:

SELECT RDB$GET_CONTEXT('SYSTEM', 'WIRE_ENCRYPTED')
FROM RDB$DATABASE;

Оны қосымшаның өз қосылымы арқылы іске қосыңыз, сол сервердегі әкімші сессиясы арқылы емес. Шифрланған әкімші қосылымы басқа клиент кітапханасының сессиясы туралы ештеңе айтпайды және айнымалыны қолдамайтын ескі құрастыру шифрлаудың өшірілгеніне дәлел емес.

Клиент кітапханасының нұсқасын, сервер құрастыруын және нәтижені бірге жазып алыңыз, өйткені олардың ешқайсысы жалғыз оқылмайды.

Рұқсаттар және жаңарту жолы

Көздерді шектеу және тасымалды шифрлау аутентификацияны немесе ең аз артықшылық рұқсаттарын алмастырмайды. Қарапайым дерекқор пайдаланушысының шын мәнінде қатынасатын нысандардағы рұқсаттарын тексеріңіз.

Соңында, ұзақ мерзімді орналастыруды техникалық қызмет көрсету мәселесі ретінде қарастырыңыз. Туннель ескірген клиент кітапханасын шексіз қауіпсіз етпейді және қолдау көрсетілетін жаңарту жолы оған қажет плагиннің жойылғанын анықтаудан арзан.