Ang wire encryption ng Firebird 3 at ang VPN ay dalawang magkaibang hangganan

Kumokonekta ang VPN, nagbubukas ng session ang client, at inaakala ng lahat na ligtas ang koneksyon sa database. Tatlong magkaibang bagay ang pinaghalo lang. Kung maabot man ang listener, kung tinanggap ng server ang user, at kung napagkasunduan ng Firebird ang wire encryption ay magkakaibang mekanismo na may magkakaibang ebidensya. Ang tunel ay sumasagot lamang sa una, at para lamang sa mga pinagmulang pinayagan mo.

Dalawang hangganan, at hindi sila nag-ooverlap

Pinoprotektahan ng hangganan ng VPN ang mga packet sa pagitan ng client at gateway. Pinoprotektahan ng wire encryption ng Firebird ang protocol ng database sa pagitan ng library ng client at proseso ng server. Maaaring parehong naroroon, at walang isa ang pumapalit sa isa.

Kung nagtatapos ang tunel bago ang host ng database, ang trapiko sa kabila nito ay protektado lamang ng napagkasunduan ng session ng database. Sa siwang na iyon karaniwang nahahanap ng pagsusuri ang sorpresa. Nagtatapos ang diagram ng tunel sa isang gateway, at ang koneksyong nagdadala ng iyong query ay nagpapatuloy sa kabila nito. Sinumang magbasa ng diagram na iyon mamaya ay nagmamana ng palagay.

Unang hangganan: sino ang maaaring magbukas ng listener

Tukuyin ang tunay na address ng server at ang naka-configure na port, na 3050 maliban kung binago, pagkatapos ay payagan lamang ang mga aprubadong pinagmulan ng VPN sa firewall ng host at ng network. Isaalang-alang ang anumang pagsasalin ng address sa gateway ng VPN, at bigyan ang host ng database ng ruta pabalik sa pool ng client kung hiwalay ang gateway.

Pagkatapos ay patunayan ang negatibo. Ang panlabas na landas na dapat tanggihan ay dapat manatiling tinanggihan, dahil ang pagbukas ng tunel ay hindi naglilimita sa listener ng Firebird nang mag-isa.

Ikalawang hangganan: ano ang pinagkakasunduan ng Firebird

Ipinakilala ng Firebird 3 ang balangkas ng wire encryption na may patakaran ng server na maaaring i-disable, i-enable o kailanganin. Itinatakda ng patakaran ang pinakamababa. Ang aktwal na session ay nakadepende pa rin sa library ng client na ikinakarga ng application at sa mga plugin na sinusuportahan ng magkabilang panig.

Sa mga release note ng Firebird 3 nakalista ang Arc4 bilang default na plugin ng wire encryption para sa release na iyon. Ang Arc4 ay makasaysayang default, hindi rekomendasyon para sa modernong cipher, at hindi ito kapareho ng panlabas na proteksyon ng VPN.

Ang pagpapatotoo ay ikatlong variable sa parehong negosasyon. Tumatanggap ang server ng isang set ng mga plugin ng pagpapatotoo, nag-aalok ang library ng client ng isang subset, at dapat mag-overlap ang dalawa.

Ang bitag ng Legacy_Auth

Ang pagsuporta sa Legacy_Auth ay nangangailangan ng pagluluwag ng default na patakaran ng sapilitang encryption ng server. Iyon ang dokumentadong gastos sa pagiging compatible, at dahil doon ang pagbaba ng patakaran upang patahimikin ang error sa koneksyon ay pagbabago sa seguridad at hindi pagkukumpuni.

Kung biglang bumigo ang isang client pagkatapos ng upgrade ng server, ihambing ang mga listahan ng plugin bago pahinain ang anuman. Ang kabiguan ay karaniwang hindi pagkakatugma sa negosasyon, at ang sagot ay isang plugin na sinusuportahan sa magkabilang panig.

Suriin ang koneksyong mahalaga

Sa isang build na nagbibigay ng context variable, iniuulat ng query na ito ang estado ng encryption ng kasalukuyang koneksyon:

SELECT RDB$GET_CONTEXT('SYSTEM', 'WIRE_ENCRYPTED')
FROM RDB$DATABASE;

Patakbuhin ito sa sariling koneksyon ng application, hindi sa session ng administrator sa parehong server. Ang naka-encrypt na koneksyon ng admin ay walang sinasabi tungkol sa session ng ibang library ng client, at ang mas lumang build na hindi sumusuporta sa variable ay hindi ebidensya na patay ang encryption.

Itala nang sama-sama ang bersyon ng library ng client, ang build ng server at ang resulta, dahil wala sa mga ito ang nababasa nang mag-isa.

Mga pahintulot at ang landas ng upgrade

Ang paglilimita sa mga pinagmulan at pag-encrypt ng transportasyon ay hindi pumapalit sa pagpapatotoo o sa mga pahintulot ng pinakamababang pribilehiyo. Suriin ang mga pahintulot ng ordinaryong user ng database sa mga bagay na talagang hinahawakan nito.

Sa huli, ituring ang pangmatagalang deployment bilang isang usapin ng maintenance. Hindi ginagawang ligtas ng tunel ang isang lipas na library ng client nang walang hanggan, at ang sinusuportahang landas ng upgrade ay mas mura kaysa sa matuklasan na ang plugin na kailangan nito ay inalis.