PostgreSQL iyada oo maraysa VPN: waa tee cinwaanka isha ee pg_hba arki doono

PostgreSQL waligeed ma ogaado in macmiilku ku jiro VPN. Waxay ka heshaa isku xirka TCP cinwaan iyo tiro aqoonsi ah, waxayna go'aansataa waxa ay ku samaynayso. Sidaa awgeed ka dhigista gelitaanka mid ku xiran tunnel-ka waxay la macno tahay in la habeeyo saddex go'aan oo kala duwan si ay isku raacaan, ka dibna la hubiyo cinwaanka kaliya ee server-ku run ahaantii arko halkii cinwaankii aad ku sawirtay jaantuska.

Saddex go'aan oo aan la isku darin

Halka server-ku wax ka dhageysto waa hal go'aan. Tiraafiga keeni kara cinwaankaas waa kan labaad, oo uu sameeyo firewall-ka martigeliyaha iyo xuduud kasta oo shabakadeed oo hortiisa ah. Aqoonsiga database-ka ee laga aqbali karo ishaas waa kan saddexaad, oo lagu sameeyo pg_hba.conf.

Mid kastaa waxaa fuliya qayb kale, mid kastaana wuxuu ku guuldareystaa fariin kale. Isku darkooda doodda waa sida dadku ugu dhammeeyaan tafatirka faylka HBA si ay u hagaajiyaan dhibaatada firewall-ka. Ku hayso nidaam: dhageyste aan xidhnayn lama gaari karo, port la shaandheeyay lama xiri karo, qaanuunka HBA-na wuxuu go'aamiyaa oo kaliya waxa dhaca ka dib marka xiriirku jiro. Marka isbeddel aan wax saameyn ah lahayn, aqoonso saddexda lakab midkee aad run ahaantii beddeshay.

Halka server-ku wax ka dhageysto

Ku xir cinwaan si dhab ah loo qoondeeyay mishiinka, ma aha magaca interface-ka:

listen_addresses = '10.20.0.30'

Database-ku wuxuu ku noqon karaa gadaasha gateway-ga VPN isagoo aan lahayn interface tunnel u gaar ah, taasina waa sababta cinwaanku yahay waxa saxda ah ee la magacaabo. Beddelka dejintan waxay u baahan tahay dib u bilaabid buuxda; dib u rarid kuma filna.

Ka dib shaandhee port-ka, sida caadiga ah 5432, martigeliyaha iyo xuduud kasta oo hortiisa ah. Ku xirnaanta cinwaan gaar ah ma aha caddayn diidmo dadweyne, sababtoo ah gudbinta port-ka ama khariidaynta cinwaanka daruuraha ayaa wali u geyn kara baakadaha dhageystahaas gaarka ah.

Cinwaanka HBA run ahaantii arko

Gelitaanka la maro, server-ku wuxuu arkaa cinwaanka tunnel-ka gudaha ee macmiil kasta. Marka isha la tarjumo, wuxuu beddelkeeda arkaa cinwaanka la tarjumay ee gateway-ga, macmiil kastaana wuxuu ku dhiciyaa qiimahaas kaliya. Baadh isha iyada oo loo marayo caddaynta xiriirka server-ka laftiisa ka hor intaadan dooran horgale la oggolaado.

Bixinta hore u isticmaasha TLS iyo SCRAM, tusaale si ula kac ah cidhiidhi ah oo gelitaan fog ayaa sidan u eg:

hostssl appdb app_login 10.8.0.0/24 scram-sha-256
host all all 0.0.0.0/0 reject
host all all ::/0 reject

Taasi waxay oggolaataa hal door iyo hal database oo TLS ah oo ka yimaada barkada la sheegay, ka dibna waxay diiddaa gelitaan kale oo TCP fog. Ma aha beddelka fayl HBA buuxa: hayso maamulka gudaha, taranka iyo adeeg kasta oo kale oo la oggolaaday, oo qaanuunka cidhiidhiga ah ka hor dhig oggolaanshaha ballaaran.

Marka tarjumaaddu socoto, HBA ma kala sooci karto macmiiliinta cinwaannadooda asalka ah. Hayso gelitaanka shabakadda mid adag oo dalbo aqoonsi database dhab ah, walina ha ku beddelin aqoonsiga trust akoon dhab ah.

Is waafajinta koowaad ayaa guuleysata, iyada oo aan beddel kale lahayn

PostgreSQL waxay faylka ka akhridaa sare ilaa hoos oo waxay isticmaashaa diiwaanka koowaad ee xiriirka la waafajiya. Ma jiro isku day labaad haddii aqoonsiga diiwaankaas uu guuldareysto, sidaa awgeed oggolaansho ballaaran oo hore ayaa si aamusnaan ah uga guuleysta diidmo dambe.

Qaanuunka nidaamkaas ayaa ah sababta ugu caansan ee diidmo si taxaddar leh loo qoray ay waligeed uusan dhaqan galin. Dhig qaanuunnada gaarka ah marka hore iyo kuwa ballaaran marka dambe, ka dibna faylka u akhri sida isku xigxig halkii aad u akhrin lahayd sida ururin. Qaanuunka aad hoosta ku dartay ma aha siyaasad, waa faallo. U rar kor oo dib u rar ka hor intaadan go'aansan in faylka la iska indhatirayo.

Tixraaca HBA wuxuu qeexaa nidaamka iyo faraqa u dhexeeya diiwaannada host iyo hostssl, taas oo muhiim ah marka ujeeddada qaanuunku tahay in xiriirku qasab yahay inuu sir ahado.

Dib u rarid, dib u bilaabid iyo kiiska la diiday

Isbeddellada HBA waxaa lagu dabaqaa dib u rarid, aragtida pg_hba_file_rules waxay kaa caawinaysaa inaad hesho khaladaadka falanqaynta. Aragtidaas waxay qeexaysaa waxa hadda ku jira faylka, ma aha haddii server-ka socda uu si guul leh u raray, sidaa awgeed liis nadiif ah ma aha caddayn in qaanuunnada cusub ay shaqeynayaan.

Isbeddellada dhageystaha waxay u baahan yihiin dib u bilaabid u gaar ah, labada hawlgalna way fududahay in la khaldo marka isbeddel uu u muuqdo mid aan wax saameyn ah lahayn.

Ku tijaabi fadhiyo cusub: macmiil la oggolaaday oo leh akoonka loogu talagalay ayaa isku xira, isla akoonkaas dariiqa aan la oggolayn kama xirmo, aqoonsiga database-ka aan la fasixin ayaa wali ku guuldareysta gudaha VPN. Saddexdaas natiijo waxay kala soocaan xuduudka shabakadda iyo fasixinta database-ka, taas oo ah ujeeddada dhan ee go'aannada kala duwan lagu hayo.