VPN හරහා MySQL: සේවාදායකය තහවුරු කරන්න, එන්ක්‍රිප්ෂන් පමණක් නොවේ
වැරදි සත්කාරකයට එන්ක්‍රිප්ෂන් කිරීමත් වැරදිය. ssl-mode අගයන් සසඳන්න, පසුව ඔබ අදහස් කළ සේවාදායකය නම් කරන සහ එය ඔප්පු කරන සම්බන්ධතාවයක් ධාවනය කරන්න.
ඔබ 10.20.4.15 වෙත සම්බන්ධතාවයක් සුරකිනවා, VPN බිඳවැටෙනවා, තවමත් සේවාලාභියා සම්බන්ධ වෙනවා. එය හොඳ පුවතක් නොවේ. පෞද්ගලික ලිපිනයක් යනු ඔබ සිටින ඕනෑම මාර්ගගත සන්දර්භයක් තුළ පිහිටීමකි, සහ බොහෝ ජාල එකම පරාස භාවිත කරයි. සේවාලාභියා MySQL සේවාදායකයකට ළඟා වුණා, සමහරවිට ඔබේ එකට නොවෙන්න පුළුවන්.
නිවැරදි කිරීමට කොටස් දෙකක් ඇත, ඉන් එකක් පමණක් ජාලය ගැනය. සම්බන්ධතාවය එහි අපේක්ෂිත මාර්ගයේ තබා ගන්න, සහ සේවාලාභියා කතා කරන සේවාදායකය සත්‍යාපනය කිරීමට සලස්වන්න. පළමු කොටස VPN උපකාර කරන තැනය; දෙවන කොටස වින්‍යාස කළ යුතුය.
හරියටම කුමකට එන්ක්‍රිප්ට් කර ඇත්ද?
TLS සංවාදය මැද සිටින ඕනෑම කෙනෙකුගෙන් ආරක්ෂා කරයි, සහ සේවාලාභියා පරීක්ෂා නොකරන්නේ නම් අන්ත ලක්ෂ්‍යය තමන් කවුරුන් යැයි කියා සිටිනවාද යන්න ගැන කිසිවක් නොකියයි. විශ්වාසනීය අධිකාරියකට එරෙහිව වලංගු වන සහතිකයක් එම සහතිකය එම අධිකාරියෙන් පැමිණි බව ඔප්පු කරයි. ඔබ ළඟා වීමට අදහස් කළ සත්කාරක නාමය සඳහා සහතිකය නිකුත් කර ඇති බව එය ඔප්පු නොකරයි, සහ මේවා වෙනස් ප්‍රශ්න වේ.
මෙය සෛද්ධාන්තික හිඩැසක් නොවේ. ග්‍රහණ පෝටල්, වැරදි VRF දෝෂ සහ එකිනෙක මත ලැගුම් ගන්නා ලිපින සැලසුම් සියල්ල ඔබ සමඟ TLS සාකච්ඡා කිරීමට සම්පූර්ණයෙන් සූදානම් සේවාදායකයක් නිපදවයි. සේවාලාභියා එන්ක්‍රිප්ෂන් පමණක් ඉල්ලා සිටින්නේ නම්, සැසිය පෞද්ගලිකයි නමුත් වැරදි දත්ත සමුදායක් වෙත යොමු වේ.
එබැවින් අදාළ ප්‍රශ්නය සම්බන්ධතාවය එන්ක්‍රිප්ට් ද යන්න නොව, ඔබ අදහස් කළ අනන්‍යතාවය වෙත එන්ක්‍රිප්ට් කර තිබේද යන්නය. MySQL හි සේවාලාභියා තුළ, එම වෙනස සම්පූර්ණයෙන්ම ssl-mode සැකසුම තුළ ජීවත් වේ.
ප්‍රායෝගිකව ssl-mode අගයන් පහ
අගයන් පහක් ඇත, සහ ඉන් එකක් පමණක් මෙම අත්පොතේ ප්‍රශ්නයට පිළිතුරු දෙයි. වගුව එක් එක් නම යෝජනා කරන දෙය නොව, ඇත්ත වශයෙන්ම සහතික කරන දෙය ලැයිස්තුගත කරයි.
| Mode | What it guarantees |
|---|---|
DISABLED | No TLS at all; everything on the wire is readable |
PREFERRED | Tries TLS and falls back to plaintext when the account and server allow it, so it is not a fail-closed requirement |
REQUIRED | Refuses to connect without TLS, and does not validate the certificate |
VERIFY_CA | Validates the server certificate against the configured CA and does not check the hostname |
VERIFY_IDENTITY | Validates the CA and checks that the certificate names the host the client used |
මෙම ලිපියේ ප්‍රශ්නයට පිළිතුරු දෙන්නේ අවසාන පේළිය පමණි. PREFERRED තමන්ගේම වශයෙන් සැලකිල්ලට ගැනීම වටී, මන්ද නිශ්ශබ්දව සරල පෙළට වැටෙන සේවාලාභියා ප්‍රතික්ෂේප කරන අයට වඩා නරකය: ඔබට එන්ක්‍රිප්ෂන් ඇතැයි සිතන අතර පැකට් ග්‍රහණය එකඟ නොවේ.
අද ධාවනය කළ හැකි සම්බන්ධතාවයක්
පහත විධානය භාවිත කළ යුතු ආකාරයයි, ස්ථාන දෙකක් සමඟ: අනුමත දත්ත සමුදාය නාමය සහ අනුමත නාලිකාවක් හරහා ලබාගත් CA ගොනුව. දෙකම සේවාදායකය පළමු සම්බන්ධතාවයේදී ඉදිරිපත් කරන දෙයින් නොගත යුතුය.
mysql --host=db.corp.example --user=app_reader \
--ssl-mode=VERIFY_IDENTITY \
--ssl-ca=/approved/path/ca.pem --password--password අගයක් නොමැතිව ඉල්ලා සිටී, එය රහස ක්‍රියාවලි ලැයිස්තුවෙන් සහ ඔබේ ෂෙල් ඉතිහාසයෙන් පිටත තබයි. මෙය කුඩා පුරුද්දක් වන අතර විශාල ප්‍රයෝජනයක් ඇති බෙදාගත් පැන ධාවකවල, විධාන රේඛාව අනෙකුත් පරිශීලකයන්ට දිස්වන තැන.
මෙය අසාර්ථක වූ විට, දෝෂ පෙළ අවස්ථා අවබෝධයට වඩා හොඳින් වෙන් කරයි. CA දෝෂයක් යනු දාමය වලංගු නොවන බවයි, සහ සේවාදායක සහතිකයට අත්සන් කළේ කුමන CA දැයි බැලිය යුතුය. සත්කාරක නාම දෝෂයක් යනු දාමය හොඳ බවත් නාමය නොගැලපෙන බවත්ය, එය සාමාන්‍යයෙන් අදහස් වන්නේ ඔබ වැරදි සේවාදායකයට නොව, නිවැරදි සේවාදායකයට වැරදි නාමයකින් සම්බන්ධ වූ බවයි.
විමසුමක් දිස්වීම යනු මුරපදයක් දැනටමත් යවා ඇති බවට සාක්ෂියක් නොවේ, සහ අසාර්ථක සම්බන්ධතාවයක් සේවාලාභියාගෙන් කිසිවක් පිටවී නැති බව ඔප්පු නොකරයි. ඔබ අතීත සිදුවීමක් නැවත ගොඩනඟන්නේ නම්, සේවාලාභියා, ඔහුගේ වින්‍යාසය, සත්‍යාපන ප්ලගිනය සහ අසාර්ථක වූ අදියර හඳුනා ගන්න. අවසාන දෝෂ පණිවිඩයෙන් නිරාවරණය ඇස්තමේන්තු කිරීම අනුමානයකි.
නාමය උමං මාර්ගයකින් පැමිණෙන විට
ස්ථානීය තොටුපළ යොමු කිරීම අනන්‍යතා පරීක්ෂාව මිනිසුන් පුදුමයට පත් කරන ආකාරයෙන් බිඳ දමයි. ඔබ ස්ථානීය තොටුපළක් දත්ත සමුදායට යොමු කර localhost වෙත සම්බන්ධ වුවහොත්, සේවාලාභියා සහතිකය localhost සමඟ වලංගු කරයි, එම නාමය සඳහා කිසිදු සහතිකයක් නිකුත් කර නොමැත. සම්බන්ධතාවය සම්පූර්ණයෙන්ම ආරක්ෂිත විය හැකි අතර සත්‍යාපනය එසේ වුවත් අසාර්ථක වනු ඇත, එය සත්‍යාපනය අදහස් කළ පරිදි ක්‍රියා කරයි.
අවංක පිළිතුරු දෙකක් ඇත. යොමු කළ අන්ත ලක්ෂ්‍යයට ලූප්බැක් ලිපිනයට විසඳන සහ සේවාදායක සහතිකයේ දිස්වන නාමයක් දෙන්න, නැතහොත් සේවාලාභියා සැබෑ අනන්‍යතාවය සත්‍යාපනය කරන පරිදි සත්කාරක නාමය මුල සිට අග දක්වා භාවිත කරන්න. පළමුවැන්න සංවර්ධකයන්ට පහසු වන අතර සහතික වැඩ අවශ්‍ය වේ; දෙවැන්න සිතීමට පහසු වන අතර ස්වයංක්‍රීයකරණයට නිවැරදි පෙරනිමිය බොහෝ විට වේ. යොමු කිරීම ක්‍රියා කිරීමට සත්‍යාපනය අක්‍රීය කිරීම ඔබ එකතු කිරීමට උත්සාහ කළ ගුණාංගය ඉවතට දමයි.
පිළිගැනීම කොන්දේසි තුනකි
පිළිගැනීමේ පරීක්ෂණය වෙන වෙනම ප්‍රකාශ තුනක් ලෙස ලියන්න: සම්බන්ධතාවය අපේක්ෂිත මාර්ගය භාවිත කළා, එන්ක්‍රිප්ෂන් මනාපයක් නොව අවශ්‍ය විය, සහ සේවාදායකයේ අනන්‍යතාවය විශ්වාසනීය ද්‍රව්‍යයකට එරෙහිව සත්‍යාපනය විය. හරිත VPN නිරූපකය ඒ කිසිවක් තහවුරු නොකරයි.
GUI සේවාලාභීන් සහ MariaDB සඳහා, ධජයේ අක්ෂර වින්‍යාසය එලෙසම යෙදෙන බව උපකල්පනය කරනවාට වඩා විකුණුම්කරුගේම ලේඛන පරීක්ෂා කරන්න. MySQL එන්ක්‍රිප්ට් කළ සම්බන්ධතා ලේඛනය මාදිලි අතර වෙනස්කම් සහ CA බෙදාහැරීමේ අවශ්‍යතාවය ආවරණය කරයි, සහ නිෂ්පාදන සම්බන්ධතා තන්තුව වෙනස් කිරීමට පෙර පරීක්ෂා කළ යුතු යොමුව එයයි.