VPN හරහා PostgreSQL: pg_hba දකින මූලාශ්‍ර ලිපිනය

ශ්‍රාවකයා, ගිනිකොටනය සහ පළමු ගැළපෙන HBA නියමය තීරණ තුනකි. උපසර්ගයක් තෝරා ගැනීමට පෙර PostgreSQL සැබවින්ම ලබා ගන්නා මූලාශ්‍රය පරීක්ෂා කරන්න.

PostgreSQL කිසිදා දැනගන්නේ නැත ක්ලයන්ට් එකක් VPN එකක සිටින බව. එය ලිපිනයකින් TCP සම්බන්ධතාවයක් සහ අක්තපත්‍ර කට්ටලයක් ලබාගෙන ඒවා සමඟ කුමක් කළ යුතුද යන්න තීරණය කරයි. එබැවින් ප්‍රවේශය උමං මාර්ගයට යැපෙන ලෙස කිරීම යනු වෙන වෙනම තීරණ තුනක් එකඟ වන පරිදි සකස් කර, පසුව රූප සටහනේ ඇඳ ඇති ලිපිනය වෙනුවට සේවාදායකය සැබවින්ම දකින එකම ලිපිනය පරීක්ෂා කිරීමයි.

ඒකාබද්ධ නොකළ යුතු තීරණ තුනක්

සේවාදායකය සවන් දෙන්නේ කොහේද යන්න එක් තීරණයකි. කුමන රථවාහනයට එම ලිපිනයට ළඟා විය හැකිද යන්න දෙවැන්නයි, එය සත්කාරක ගිනිකොටනය සහ ඉන් ඉදිරියෙන් ඇති ඕනෑම ජාල මායිමක් ගනී. කුමන දත්ත සමුදාය අනන්‍යතාවයට කුමන මූලාශ්‍රයකින් සත්‍යාපනය කළ හැකිද යන්න තෙවැන්නයි, එය pg_hba.conf තුළ ගනී.

එක් එක් එක වෙනස් සංරචකයක් ක්‍රියාත්මක කරයි, සහ එක් එක් එක වෙනස් පණිවිඩයකින් අසාර්ථක වේ. ඒවා සාකච්ඡාවක ඒකාබද්ධ කිරීම නිසා මිනිසුන් ගිනිකොටන ගැටලුවක් විසඳීමට HBA ගොනුව සංස්කරණය කරයි. ඒවා පිළිවෙලට තබන්න: බැඳී නැති ශ්‍රාවකයාට ළඟා විය නොහැක, පෙරහන් කළ තොටුපොළකට සම්බන්ධ විය නොහැක, සහ HBA නියමය තීරණය කරන්නේ සම්බන්ධතාවයක් පවතින පසු කුමක් සිදුවේද යන්න පමණි. වෙනසක් බලපෑමක් නොකරන විට, ඔබ සැබවින්ම වෙනස් කළේ ස්ථර තුනෙන් කුමක්ද යන්න හඳුනා ගන්න.

සේවාදායකය සවන් දෙන තැන

අතුරුමුහුණත් නාමයකට නොව, යන්ත්‍රයට සැබවින්ම පවරා ඇති ලිපිනයකට බැඳෙන්න:

listen_addresses = '10.20.0.30'

දත්ත සමුදායට තමන්ගේම උමං අතුරුමුහුණතක් නොමැතිව VPN ද්වාරය පිටුපස සිටිය හැක, එබැවින් ලිපිනයක් නම් කිරීම නිවැරදි දෙය වන්නේ එබැවිනි. මෙම සැකසුම වෙනස් කිරීමට සම්පූර්ණ නැවත ආරම්භ කිරීමක් අවශ්‍ය වේ; නැවත පූරණය ප්‍රමාණවත් නොවේ.

පසුව තොටුපොළ, සාමාන්‍යයෙන් 5432, සත්කාරකයේ සහ ඉන් ඉදිරියෙන් ඇති සෑම මායිමකම පෙරහන් කරන්න. පෞද්ගලික ලිපිනයකට බැඳීම පොදු ප්‍රතික්ෂේපයේ සාක්ෂියක් නොවේ, මන්ද තොටුපොළ යළි-හරවා යැවීමක් හෝ වලාකුළු ලිපින සිතියම්කරණයක් තවමත් එම පෞද්ගලික ශ්‍රාවකයාට පැකට්ටු ලබා දිය හැක.

HBA සැබවින්ම දකින ලිපිනය

මාර්ගගත ප්‍රවේශයේදී සේවාදායකය එක් එක් සේවාලාභියාගේ අභ්‍යන්තර උමං ලිපිනය දකී. මූලාශ්‍ර පරිවර්තනයේදී එය ඒ වෙනුවට ද්වාරයේ පරිවර්තිත ලිපිනය දකී, සහ සෑම සේවාලාභියෙක්ම එම එකම අගයට බිඳ වැටේ. අවසර දීමට උපසර්ගයක් තෝරා ගැනීමට පෙර සේවාදායකයේම සම්බන්ධතා සාක්ෂි හරහා මූලාශ්‍රය පරීක්ෂා කරන්න.

දැනටමත් TLS සහ SCRAM භාවිතා කරන යෙදවුමක් සඳහා, හිතාමතාම පටු දුරස්ථ ප්‍රවේශ උදාහරණයක් මෙසේ පෙනේ:

hostssl appdb app_login 10.8.0.0/24 scram-sha-256
host all all 0.0.0.0/0 reject
host all all ::/0 reject

එය සඳහන් තටාකයෙන් TLS හරහා එක් භූමිකාවකට සහ එක් දත්ත සමුදායකට අවසර දෙයි, පසුව වෙනත් දුරස්ථ TCP ප්‍රවේශය ප්‍රතික්ෂේප කරයි. එය සම්පූර්ණ HBA ගොනුවක ආදේශකයක් නොවේ: දේශීය පරිපාලනය, ප්‍රතිනිර්මාණය සහ වෙනත් බලයලත් සේවාවන් තබා ගන්න, සහ පටු නියම පුළුල් අවසරවලට පෙර තබන්න.

පරිවර්තනය ක්‍රියාත්මක වන විට, HBA හට සේවාලාභීන්ගේ මුල් ලිපින අනුව වෙන් කර හඳුනාගත නොහැක. ජාල පිළිගැනීම තදින් තබා සැබෑ දත්ත සමුදාය අක්තපත්‍ර ඉල්ලා සිටින්න, සහ trust සත්‍යාපනය කිසිදා සැබෑ ගිණුමක් සමඟ ප්‍රතිස්ථාපනය නොකරන්න.

පළමු ගැළපීම ජය ගනී, විකල්පයක් නැත

PostgreSQL ගොනුව ඉහළ සිට පහළට කියවා සම්බන්ධතාවයට ගැළපෙන පළමු වාර්තාව භාවිතා කරයි. එම වාර්තාවේ සත්‍යාපනය අසාර්ථක වුවහොත් දෙවන උත්සාහයක් නොමැත, එබැවින් කලින් පුළුල් අවසරයක් පසුව එන ප්‍රතික්ෂේපයක් නිහඬව පරාජය කරයි.

එම අනුපිළිවෙල නියමය තමයි සැලකිල්ලෙන් ලියූ ප්‍රතික්ෂේපයක් කිසිදා ක්‍රියාත්මක නොවීමට වඩාත් පොදු හේතුව. නිශ්චිත නියම මුලින් සහ පුළුල් ඒවා අවසානයේ තබන්න, පසුව ගොනුව කට්ටලයක් ලෙස නොව අනුපිළිවෙලක් ලෙස කියවන්න. ඔබ පහළින් එකතු කළ නියමය ප්‍රතිපත්තියක් නොවේ, එය අදහසකි. ගොනුව නොසලකා හරින බව නිගමනය කිරීමට පෙර එය ඉහළට ගෙන ගොස් නැවත පූරණය කරන්න.

HBA යොමුව අනුපිළිවෙල සහ host සහ hostssl වාර්තා අතර වෙනස දෙකම නිර්වචනය කරයි, නියමයේ කරුණ සම්බන්ධතාවය ගුප්තකේතනය විය යුතු යන්න වන විට එය වැදගත් වේ.

නැවත පූරණය, නැවත ආරම්භය සහ ප්‍රතික්ෂේප වූ අවස්ථාව

HBA වෙනස්කම් නැවත පූරණයකින් යෙදේ, සහ pg_hba_file_rules දර්ශනය විග්‍රහ දෝෂ සොයා ගැනීමට උදව් කරයි. එම දර්ශනය ගොනුවේ වර්තමාන අන්තර්ගතය විස්තර කරයි, ක්‍රියාත්මක වන සේවාදායකය ඒවා සාර්ථකව පූරණය කළේද යන්න නොවේ, එබැවින් පිරිසිදු ලැයිස්තුවක් නව නියම ක්‍රියාත්මක වන බවට සාක්ෂියක් නොවේ.

ශ්‍රාවක වෙනස්කම් සඳහා තමන්ගේම නැවත ආරම්භයක් අවශ්‍ය වේ, සහ වෙනසක් බලපෑමක් නොමැති ලෙස පෙනෙන විට ක්‍රියා දෙක ව්‍යාකූල කර ගැනීම පහසුය.

නව සැසි සමඟ පරීක්ෂා කරන්න: අපේක්ෂිත ගිණුම සහිත අනුමත සේවාලාභියෙක් සම්බන්ධ වේ, එම ගිණුමම අනනුමත මාර්ගයකින් සම්බන්ධ නොවේ, සහ අනවසර දත්ත සමුදාය අනන්‍යතාවයක් තවමත් VPN ඇතුළතින් අසාර්ථක වේ. එම ප්‍රතිඵල තුන ජාල මායිම දත්ත සමුදාය අවසරයෙන් වෙන් කරයි, එයම තීරණ වෙන් කර තබා ගැනීමේ මුළු අරමුණයි.

අදාළ ලිපි