Tunnel SSH QGIS PostGIS: hayso magaca serverka ee TLS

Tunnelku wuu soo baxaa, QGIS wuu xirmaa, oo gelitaanku wuxuu ku dhintaa khalad shahaado oo sheegaya 127.0.0.1 halkii martigeliyaha keydka xogta. Tallaabada xigta ee soo jiidashada leh waa in la dabciyo sslmode, taasoo aamuseysa hubinta oo tuurta dammaanadda aqoonsiga ee aad markii hore rabtay. Dhibaatada dhabta ah waa in dekedda maxalliga ah iyo magaca serverka lagu kaydiyo isla goob. Diiwaanka adeegga libpq wuu kala saaraa, sidaas darteed socketku wuxuu u tagaa dekedda la gudbiyay halka TLS weli uu xaqiijinayo magaca ku qoran shahaadada.

Waxa uu macmiilku u malaynayo in uu ku xirmayo

Marka la isticmaalayo sslmode=verify-full, libpq wuxuu isbarbardhigaa shahaadada uu serverku soo bandhigo iyo magaca martigeliyaha la codsaday. Marka magacaasi yahay cinwaan loopback, isbarbardhiggu wuu guuldareystaa inkastoo shahaadadu ansax u tahay martigeliyaha dhabta ah ee keydka xogta. Gudbinta SSH waxay beddeshaa socketka qaada baytyada, ma aha aqoonsiga ay tahay in macmiilku filayo. Marka labada fikradood la kala saaro, khaladku mar dambe uma eka cilad TLS.

Gudbinta ma aha ogolaansho sidoo kale. PostgreSQL wali wuxuu ku dabaqaa qawaaniintiisa xiriirka uu serverka SSH sameeyo, sidaas darteed kala fogee lakabka gaadiidka iyo lakabka keydka xogta ka hor inta aanad wax beddelin.

Ku xir gudbinta loopback kaliya

Dhegeystuhu waa inuu ku jiraa mishiinka QGIS oo aan meel kale joogin. In si cad loo sheego 127.0.0.1 waxay ka fogaanaysaa is-dhexgalka kale, halka cinwaanka xidhitaanka la reebay uu dekedda u bandhigi karo bannaanka iyadoo ku xiran dejinta gateway-ga macmiilka SSH.

ssh -N -L 127.0.0.1:15432:127.0.0.1:5432 [email protected]

Meesha loo socdo ee ka dambeysa labada dhibcood ee labaad waxaa lagu xalliyaa dhinaca serverka SSH, sidaas darteed tusaalahan wuxuu u malaynayaa in PostgreSQL uu ku jiro isla martigeliyaha sshd; keyd xog oo ku yaal mishiin kale wuxuu u baahan yahay cinwaankaas iyo ogolaanshihiisa. Ku bilow fadhiga -N si aan qolofna loo furin, ha taaban hubinta furaha martigeliyaha, oo xaqiiji in dhegeystuhu soo baxo ka hor inta aanad QGIS eedayn. Haddii dekedda horey loo isticmaalayay, gudbintu waxay ku guuldareysataa bilowga halkii ay ku guuldareysan lahayd waqtiga weydiinta.

Ku dhig magaca iyo socketka hal diiwaan adeeg

Faylka adeeggu wuxuu u ogolaanayaa isla xiriirka inuu qaado magac hubin iyo meel kale oo socket ah. Kaydi diiwaanka meesha libpq uu ka raadiyo adeegyada, ama u jeedi PGSERVICEFILE xaggaas.

[gis-via-ssh]
host=db.geo.example
hostaddr=127.0.0.1
port=15432
dbname=gisdb
user=gis_reader
sslmode=verify-full
gssencmode=disable
sslrootcert=/path/to/approved-root.crt

Halkan host waxay hayaan aqoonsiga loo isticmaalo hubinta shahaadada halka hostaddr uu baakadaha u diro dekedda loopback ee la gudbiyay, labadaba waa loo baahan yahay si habayntan u shaqeyso. gssencmode=disable waa muhiim dhismayaasha haddii kale marka hore ka wada hadli lahaa sir-gelinta GSSAPI, sababtoo ah waddadaas waxay iska indhatirtaa dejinta TLS ee hadda la dhigay. Ku tilmaan adeegga magaciisa laga bilaabo wada-hadalka xiriirka PostgreSQL ee QGIS oo furaha sirta ah ka bixi dalabka caadiga ah, ma aha gudaha fayl la wadaago. Magacyada iyo waddooyinka kore waa meel-bannaan; ku beddel qiimayaashaada la ansixiyay.

Waxa uu PostgreSQL wali hubiyo tunnelka ka dib

Serverku wuxuu arkaa xiriir ka yimid martigeliyaha SSH, loopback habayntan, wuxuuna si taxane ah ula mid-dhigaa qawaaniinta xaqiijinta ee ku salaysan martigeliyaha. Doorkaaga keydka xogta wali waa in uu xaqiijiyaa, gelitaanka SSH-na iskiis ma bixiyo aqoonsi keyd xog. Xaqiiji waxa uu serverku rumaysan yahay, ee ma aha waxa uu macmiilku qaatay.

psql "service=gis-via-ssh" -c "select inet_server_addr(), current_user"

Xir fadhiga gudbinta marka shaqadu dhammaato; diiwaanka maxalliga ahi wuu joojiyaa shaqeynta oo wax kale ma is beddelo. Hal waddo oo keydka xogta ah VPN uma aha dhammaan macmiilka GIS, oo ula dhaqanka sida VPN waa sababta xiriirka xiga si khaldan loo ogaado.