Firebird 3 Drot-Verschlësselung an d'VPN sinn zwou verschidde Grenzen

D'VPN verbënnt, de Client mécht eng Sëtzung op, an all huelen un, datt d'Datebankverbindung geséchert ass. Dräi verschidden Saache sinn elo duercherneen geroden. Ob de Listener iwwerhaapt erreechbar ass, ob de Server de Benotzer akzeptéiert huet an ob Firebird Drot-Verschlësselung verhandelt huet, sinn getrennte Mechanismen mat getrennte Beweiser. En Tunnel äntwert just op déi éischt, an och just fir d'Quellen, déi Dir zougelooss hutt.

Zwou Grenzen, déi sech net iwwerschneiden

D'VPN-Grenz schützt Paketen tëschent engem Client an engem Gateway. Dem Firebird seng Drot-Verschlësselung schützt den Datebankprotokoll tëschent der Clientbibliothéik an dem Serverprozess. Béid kënnen do sinn, an keng ersetzt déi aner.

Wann den Tunnel virum Datebankhost ophält, ass den Trafic doriwwer eraus just duerch dat geschützt, wat d'Datebanksëtzung verhandelt huet. Genau an dëser Lück fënnt eng Iwwerpréiwung normalerweis d'Iwwerraschung. Den Tunnelldiagramm hält bei engem Gateway op, an d'Verbindung, déi Är Ufro dréit, geet doriwwer eraus weider. Wien deen Diagramm méi spéit liest, ierft dës Unhuel.

Grenz éischt: wien den Listener däerf opmaachen

Identifizéiert déi richteg Serveradress an de konfiguréierte Port, deen 3050 ass, wann en net geännert gouf, a loosst dann just déi guttgeheescht VPN-Quellen an de Firewallen vum Host an dem Netz zou. Rechent mat all Adressiwwersetzung um VPN-Gateway, a gitt dem Datebankhost eng Retourroute zum Clientpool, wann de Gateway getrennt ass.

Dann beweist dat Negatiivt. En externe Wee, dee sollt ofgeleent ginn, muss weiderhi ofgeleent ginn, well den Tunnel opmaachen de Firebird-Listener net vu sech aus aschränkt.

Grenz zweet: wat Firebird verhandelt

Firebird 3 huet e Kader fir Drot-Verschlësselung agefouert mat enger Serverpolitik, déi kann deaktivéiert, aktivéiert oder verlaangt ginn. D'Politik setzt de Buedem. D'tatsächlech Sëtzung hänkt nach ëmmer vun der Clientbibliothéik of, déi d'Applikatioun lued, an de Pluginnen, déi béid Säiten ënnerstëtzen.

An den Release-Notize vu Firebird 3 gëtt Arc4 als Standard-Plugin fir Drot-Verschlësselung vun där Verëffentlechung genannt. Arc4 ass en historesche Standard, keng Empfehlung fir eng modern Chiffre, an et ass net datselwecht wéi de baussenzege VPN-Schutz.

D'Authentifikatioun ass eng drëtt Variabel an der selwechter Verhandlung. De Server akzeptéiert eng Rei Authentifikatiouns-Pluginnen, d'Clientbibliothéik bitt eng Ënnermeng dovun un, an déi zwou mussen sech iwwerschneiden.

D'Legacy_Auth-Falle

Fir Legacy_Auth z'ënnerstëtzen, muss dem Server seng Standardpolitik fir obligatoresch Verschlësselung geluewert ginn. Dat sinn déi dokumentéiert Kompatibilitéitskäschten, an dofir ass d'Politik erofsetzen, fir e Verbindungsfehler ze berouegen, eng Sécherheetsännerung an net eng Reparatur.

Wann e Client no engem Server-Upgrade plëtzlech feelt, vergläicht d'Pluginnlëschten, ier Dir eppes schwächt. De Feeler ass meeschtens eng Verhandlungsdiskrepans, an d'Äntwert ass e ënnerstëtzten Plugin op béide Säiten.

Iwwerpréift d'Verbindung, op déi et ukënnt

Op engem Build, deen d'Kontextvariabel ubitt, mellt dës Ufro de Verschlësselungszoustand vun der aktueller Verbindung:

SELECT RDB$GET_CONTEXT('SYSTEM', 'WIRE_ENCRYPTED')
FROM RDB$DATABASE;

Fëllt se iwwer d'Applikatioun hir eege Verbindung aus, net iwwer eng Administrateurssëtzung op demselwe Server. Eng verschlësselt Administrateursverbindung seet näischt iwwer d'Sëtzung vun enger anerer Clientbibliothéik aus, an en eelere Build, deen d'Variabel net ënnerstëtzt, ass kee Beweis, datt d'Verschlësselung aus ass.

Notéiert d'Versioun vun der Clientbibliothéik, de Build vum Server an d'Resultat zesummen, well keen dovun eleng liesbar ass.

Rechter an den Upgrade-Wee

Quellen aschränken an den Transport verschlësselen ersetzen net d'Authentifikatioun oder d'Rechter vum mannste Privileg. Iwwerpréift d'Permissiounen vum gewéinlechen Datebankbenotzer op den Objeten, déi en tatsächlech beréiert.

Schlussendlech behandelt eng laanglieweg Inbetriebnamung als Ënnerhaltsfro. En Tunnel mécht eng verouderte Clientbibliothéik net onbegrenzt sécher, an en ënnerstëtzten Upgrade-Wee ass méi bëlleg wéi ze entdecken, datt de Plugin, deen se brauch, ewechgeholl gouf.