Firebird 3 сымдык шифрлоосу жана VPN эки башка чек

VPN туташат, кардар сессия ачат жана баары маалымат базасынын байланышы корголгон деп болжолдошот. Жаңы эле үч башка нерсе аралашып кетти. Угуучуга такыр жетүү мүмкүнбү, сервер колдонуучуну кабыл алдыбы жана Firebird сымдык шифрлоо боюнча сүйлөшүп алдыбы дегендер өзүнчө механизмдер жана өзүнчө далилдер. Туннель биринчисине гана жооп берет, жана сиз уруксат берген булактар үчүн гана.

Эки чек жана алар кабатталбайт

VPN чеги кардар менен шлюздун ортосундагы пакеттерди коргойт. Firebirdдин сымдык шифрлоосу кардар китепканасы менен сервер процессинин ортосундагы маалымат базасынын протоколун коргойт. Экөө тең болушу мүмкүн жана эч бири экинчисин алмаштырбайт.

Эгер туннель маалымат базасынын хостунан мурун бүтсө, андан ары трафикти маалымат базасынын сессиясы сүйлөшүп алган нерсе гана коргойт. Так ушул жылкычта сереп көбүнчө таң калыштуу нерсени табат. Туннелдин диаграммасы шлюзде бүтөт, ал эми сурооңузду ташыган байланыш андан ары уланат. Бул диаграмманы кийин окуган ар ким ушул божомолду мураска алат.

Биринчи чек: угуучуну ким ача алат

Чыныгы сервер дарегин жана конфигурацияланган портту аныктаңыз, ал өзгөртүлбөсө 3050, андан кийин хост жана тармак брандмауэрлеринде гана бекитилген VPN булактарына уруксат бериңиз. VPN шлюзиндеги ар кандай дарек которуусун эске алыңыз жана шлюз өзүнчө болсо, маалымат базасынын хостко кардар пулуна кайтуу маршрутун бериңиз.

Анан терс жакты далилдеңиз. Баш тартылышы керек болгон сырткы жол баш тартылган бойдон калышы керек, анткени туннелди ачуу Firebird угуучусун өз алдынча чектебейт.

Экинчи чек: Firebird эмнени сүйлөшөт

Firebird 3 өчүрүлүшү, күйгүзүлүшү же милдеттүү болушу мүмкүн болгон сервер саясаты менен сымдык шифрлоо алкагын киргизди. Саясат төмөнкү чеги белгилейт. Чыныгы сессия дагы эле тиркеме жүктөгөн кардар китепканасына жана эки тарап тең колдогон плагиндерге көз каранды.

Firebird 3тин чыгарылыш жазууларында Arc4 ошол чыгарылыш үчүн демейки сымдык шифрлоо плагини катары көрсөтүлгөн. Arc4 тарыхый демейки маани, заманбап шифрдин сунушу эмес жана ал сырткы VPN коргоосу менен бирдей эмес.

Аутентификация ошол эле сүйлөшүүдөгү үчүнчү өзгөрмө. Сервер аутентификация плагиндеринин жыйындысын кабыл алат, кардар китепканасы анын ички жыйындысын сунуштайт жана экөө кабатталышы керек.

Legacy_Auth тузагы

Legacy_Auth колдоо сервердин демейки милдеттүү шифрлоо саясатын бошотууну талап кылат. Бул документтелген шайкештик наркы жана ошондуктан туташуу катасын тынчтандыруу үчүн саясатты төмөндөтүү оңдоо эмес, коопсуздук өзгөрүүсү.

Эгер сервер жаңыртылгандан кийин кардар күтүлбөгөн жерден ишке ашпай калса, бир нерсени алсыратуудан мурун плагин тизмелерин салыштырыңыз. Ишке ашпоо көбүнчө сүйлөшүүнүн дал келбестиги жана жооп эки тарапта тең колдолгон плагин.

Маанилүү байланышты текшериңиз

Контекст өзгөрмөсүн берген курулушта бул суроо учурдагы байланыштын шифрлоо абалын билдирет:

SELECT RDB$GET_CONTEXT('SYSTEM', 'WIRE_ENCRYPTED')
FROM RDB$DATABASE;

Аны тиркеменин өз байланышы аркылуу иштетиңиз, ошол эле сервердеги администратор сессиясы аркылуу эмес. Шифрленген администратор байланышы башка кардар китепканасынын сессиясы жөнүндө эч нерсе айтпайт жана өзгөрмөнү колдобогон эски курулуш шифрлоо өчүк экенине далил эмес.

Кардар китепканасынын версиясын, сервер курулушун жана жыйынтыкты бирге жазыңыз, анткени алардын эч бири жалгыз окулбайт.

Укуктар жана жаңыртуу жолу

Булактарды чектөө жана транспортту шифрлөө аутентификацияны же эң аз артыкчылык укуктарын алмаштырбайт. Кадимки маалымат базасы колдонуучусунун чынында тийип жаткан объектилердеги укуктарын текшериңиз.

Акырында, узак мөөнөттүү жайгаштырууну тейлөө маселеси катары караңыз. Туннель эскирген кардар китепканасын чексиз коопсуз кылбайт жана колдолгон жаңыртуу жолу ага керектүү плагин алынып салынганын билүүдөн арзан.