QGIS mat PostGIS hannert engem VPN verbannen: Schrëtt fir Schrëtt

QGIS liest all Pad, deen seng Datenubidder kënnen erreechen, also ass en aktive VPN just d’Halschent vun der Konfiguratioun. Den Tunnel gëtt dem Desktop eng Route an eng Numm-Opléisungspolitik; de Projet brauch nach ëmmer den Endpunkt vum Service, de Protokoll vum Ubidder an d’Zougangsdaten, déi de Service akzeptéiert. Dat sinn dräi getrennt Entréen, an de öffentlechen Nolauschterer vum VPN an eng Datebankfeld ze tippen ass keng vun hinnen. Dës Awéckung verfollegt eng PostGIS-Schicht vum QGIS-Formulaire bis op eng zréckginn Zeil an nennt d’Grenz, déi all Schrëtt beweist.

Fänkt bei der Schicht un, net beim VPN

All Schichtentyp erreecht eng aner Aart vun Endpunkt. Eng PostGIS-Schicht mécht eng PostgreSQL-Verbindung mat Host, Port, Datebank a Roll op. Eng WMS- oder WFS-Schicht hëlt eng Service-URL an analyséiert duerno en Dokument mat Méiglechkeeten. Eng Shapefile op enger Netzwierkdeelung brauch just e Dateipad, deen d’Betribssystem kann opmaachen. Well dat dräi verschidde Mechanissem sinn, seet en eidelt Projet Iech näischt, bis Dir wësst, wéien Dir debuggit.

Frot den GIS-Operateur no dem Endpunkt, dem Port, der verlaangter Identitéit an der Zougangspolitik, déi fir Äre Kont gëllt. Halt den Hostnumm vum Service genee sou, wéi en ausgestallt gouf, wann d’Deployment op privaten DNS oder op Nummkontrollen am Zertifikat ugewise ass. Eng Hostadress aus der gespäicherter Verbindung vun engem aneren Notzer nei ze benotzen ass de séierste Wee zu enger Maschinn, déi äntwert awer eng méi al Datebank huet.

Routen, erlaabte Ressourcen an Numm-Opléisung gehéieren deem, deen de VPN bedreift. En Datequell-Formulaire kann keng Route installéieren, déi den Tunnelprofil ni geschéckt huet, an en kann eng Gateway-Politik net vergréisseren. Wann den Host sech opléist an de Port äntwert, ass d’Netzwierksäit vum Problem fäerdeg.

Gitt den private Endpunkt an, deen den Operateur ausgestallt huet

Den PostgreSQL-Formulaire an QGIS spigelt d’Felder, déi libpq erwaart, also fëllt en an der selwechter Reihenfolg aus wéi eng Kommandozeil-Verbindung et géif maachen. Service a Host huelen d’Datebankmaschinn, de Port hëlt de Nolauschterer, deen de Server tatsächlech opmécht, an d’Datebank hëlt de spezifesche Katalog amplaz vum Standard vum Server. Späichert d’Passwuert an enger Authentifikatiounskonfiguratioun an net an der Projetsdatei, sou datt en gedeelte Projet keng Zougangsdaten dréit.

Trennt déi zwee Nimm, ier Dir eppes tippt. Den Numm vum Gateway gehéiert an de VPN-Client an den Numm vun der Datebank an QGIS, a si si seelen deeselwechten Host.

VPN gateway:   vpn.gis.lab.example       (profile only, not a data source)
Database host: db.gis.lab.example:5432   (PostGIS service)
Database name: gis_prod
TLS mode:      verify-full

Wann d’Datebank op enger anerer Maschinn hannert dem Gateway läit, muss den Numm am Formulaire déi Maschinn sinn. Privaten DNS duerch den Tunnel ass et, wat den Numm funktionéiere léisst, an e Projet, dee sech just während der Verbindung opléist, verhält sech richteg an net mat schlechtem Cache.

Halt de TLS-Modus vun der Datebank getrennt vum Tunnel

Den SSL am Numm vun engem VPN-Produkt beschreift den Tunnel, net d’Datebanksitzung. QGIS gëtt de PostgreSQL-SSL-Modus un libpq weider, an dee Modus kontrolléiert, ob de Client d’Zertifikat vum Server iwwerpréift an ob en den Hostnumm doranner kontrolléiert. verify-fullmécht béides, dofir ass et de Modus, deen et wäert ass ze behalen, wann d’Zertifikat den Numm vum Service dréit.

De Modus op disable erofzesetzen, well den Tunnel schonn verschlësselt ass, hëlt d’Kontroll ewech, datt de Server, deen Dir erreecht hutt, dee Server ass, deen Dir ugefrot hutt. Wann d’Iwwerpréiwung feelt, ass déi üblech Ursaach eng Numm-Differenz oder e feelend Wuerzelzertifikat, a béides ass reparabel ouni d’Verbindung ze schwächen. Richt sslrootcert op d’CA, déi den Operateur publizéiert, an halt den Hostnumm am Formulaire identesch mam Numm am Zertifikat.

En Tunnel mat enger privater Route an eng Datebank mat engem gültegen Zertifikat kënnen nach ëmmer op der Roll feelen. D’Zougangsdaten vun der Applikatioun sinn getrennt vun deenen vum VPN, an e Kont, dee sech um Gateway authentifizéiert, huet keng implizit Rechter an PostgreSQL.

Testt all Grenz der Rei no a liest deen éischte Feeler

Schafft vum Client no baussen an enger fester Reihenfolg: Numm-Opléisung, TCP-Erreechbarkeet, TLS, Authentifikatioun an duerno d’Ufro selwer. Den éischten Schrëtt, dee feelt, ass deen eenzegen, deen et wäert ass ze mellen, an e Virdrun-Sprangen gëtt Fehlermeldungen vun enger Grenz, déi Dir nach net erreecht hutt. Véier Kommandoen decken déi éischt véier Schrëtt of.

getent hosts db.gis.lab.example
nc -vz db.gis.lab.example 5432
psql "host=db.gis.lab.example port=5432 dbname=gis_prod sslmode=verify-full" -c 'select 1'
curl -sS 'https://wms.gis.lab.example/ows?service=WMS&request=GetCapabilities' | head -c 200

Eng eidel Äntwert vum getent ass en Opléisungsproblem, keen Datebankproblem. En ofgeleente oder ofgelafenen nc bedeit, datt eng Route oder eng Firewall-Reeg feelt, wat eng Korrektur op der Gateway-Säit ass. En TLS-Feeler vum psql bedeit, datt d’Zertifikat oder den Numm falsch ass, wärend password authentication failed bedeit, datt Dir PostgreSQL erreecht hutt an d’Zougangsdaten de Problem sinn. Fir eng WMS-Schicht gëtt den curl Opruff den XML mat Méiglechkeeten zréck, deen QGIS géif analyséieren, also erkläert eng HTML-Umeldungssäit an dëser Ausgab direkt eng eidel Schicht.

E PostgreSQL-Feeler ass eng gutt Noriicht am Verglach mat enger Zäitiwwerschreidung. En beweist, datt d’Zil geäntwert huet, wat den Ticket vum Netzwierkteam bei den Datebank- oder GIS-Administrateur verréckelt. Dësen Ënnerscheed am Rapport ze behalen spuert eng Rees.

Wann de Projet mat eidele Schichte opgeet

An QGIS kontrolléiert d’gespäichert Quell vun der Schicht, ier Dir eppes nei agitt. D’Eegenschafte vun der Schicht weisen déi genee Verbindungszeechen, déi de Projet gespäichert huet, an eng duebel Verbindungsentrée mat engem méi alen Host ass eng heefeg Ierfschaft vun engem fréieren Büro-Netzwierk. De Projet nei lueden nom Fixe vun enger Verbindung liest den Ubidder net ëmmer erëm, also huelt d’Schicht ewech a füügt se aus der korrigéierter Verbindung erëm bäi.

Bestätegt duerno, datt d’Authentifikatiounskonfiguratioun déi ass, déi un d’Schicht gebonnen ass, net just déi, déi an der Lëscht steet. Eng Schicht, déi mat enger anerer Authentifikatiounskonfiguratioun gespäichert gouf, feelt stëll am Browser-Panel, wärend den onofhängegen psql Test duerchgeet.

Wann d’Schicht lued, späichert de Projet mat relativen Paden nëmme fir Dateien a halt d’Serviceverbindungen no hirem Endpunkt benannt. Déi nächst Persoun, déi de Projet ierft, kann dann soen, wéien Host eng futti Schicht erwaart huet, ouni en Ticket opzemaachen.