Firebird 3 kablolu şifreleme ve VPN iki ayrı sınırdır

VPN bağlanır, istemci bir oturum açar ve herkes veritabanı bağlantısının korunduğunu varsayar. Az önce üç farklı şey birbirine karıştırıldı. Dinleyicinin hiç erişilebilir olup olmadığı, sunucunun kullanıcıyı kabul edip etmediği ve Firebird'ün kablolu şifreleme üzerinde anlaşıp anlaşmadığı ayrı mekanizmalar ve ayrı kanıtlardır. Tünel yalnızca birincisine yanıt verir, o da yalnızca izin verdiğiniz kaynaklar için.

İki sınır ve bunlar örtüşmez

VPN sınırı bir istemci ile bir ağ geçidi arasındaki paketleri korur. Firebird'ün kablolu şifrelemesi, istemci kitaplığı ile sunucu süreci arasındaki veritabanı protokolünü korur. İkisi birlikte bulunabilir ve hiçbiri diğerinin yerini tutmaz.

Tünel veritabanı ana bilgisayarından önce bitiyorsa, ötesindeki trafik yalnızca veritabanı oturumunun anlaştığı şeyle korunur. Bir incelemenin genellikle sürprizi bulduğu yer tam da bu boşluktur. Tünel diyagramı bir ağ geçidinde biter ve sorgunuzu taşıyan bağlantı onun ötesinde devam eder. Bu diyagramı sonradan okuyan herkes bu varsayımı devralır.

Birinci sınır: dinleyiciyi kim açabilir

Gerçek sunucu adresini ve yapılandırılmış bağlantı noktasını belirleyin; değiştirilmediyse 3050'dir, sonra ana bilgisayar ve ağ güvenlik duvarlarında yalnızca onaylı VPN kaynaklarına izin verin. VPN ağ geçidindeki herhangi bir adres çevirisini hesaba katın ve ağ geçidi ayrıysa veritabanı ana bilgisayarına istemci havuzuna dönüş yolu verin.

Sonra olumsuzu kanıtlayın. Reddedilmesi gereken bir dış yol reddedilmiş kalmalıdır, çünkü tüneli açmak Firebird dinleyicisini kendi başına kısıtlamaz.

İkinci sınır: Firebird neyi müzakere eder

Firebird 3, devre dışı bırakılabilen, etkinleştirilebilen veya zorunlu kılınabilen bir sunucu ilkesiyle kablolu şifreleme çerçevesi getirdi. İlke alt sınırı belirler. Gerçek oturum yine de uygulamanın yüklediği istemci kitaplığına ve her iki tarafın desteklediği eklentilere bağlıdır.

Firebird 3 sürüm notlarında Arc4, o sürüm için varsayılan kablolu şifreleme eklentisi olarak listelenir. Arc4 tarihsel bir varsayılandır, modern bir şifre önerisi değildir ve dış VPN korumasıyla aynı şey değildir.

Kimlik doğrulama aynı müzakerenin üçüncü değişkenidir. Sunucu bir dizi kimlik doğrulama eklentisini kabul eder, istemci kitaplığı bunların bir alt kümesini sunar ve ikisinin örtüşmesi gerekir.

Legacy_Auth tuzağı

Legacy_Auth desteği, sunucunun varsayılan zorunlu şifreleme ilkesinin gevşetilmesini gerektirir. Bu, belgelenmiş uyumluluk maliyetidir ve bu yüzden bir bağlantı hatasını susturmak için ilkeyi düşürmek bir düzeltme değil güvenlik değişikliğidir.

Bir istemci sunucu yükseltmesinden sonra aniden başarısız olursa, herhangi bir şeyi zayıflatmadan önce eklenti listelerini karşılaştırın. Hata genellikle bir müzakere uyuşmazlığıdır ve yanıt her iki tarafta desteklenen bir eklentidir.

Önemli olan bağlantıyı denetleyin

Bağlam değişkenini sağlayan bir derlemede, bu sorgu geçerli bağlantının şifreleme durumunu bildirir:

SELECT RDB$GET_CONTEXT('SYSTEM', 'WIRE_ENCRYPTED')
FROM RDB$DATABASE;

Bunu aynı sunucudaki bir yönetici oturumuyla değil, uygulamanın kendi bağlantısıyla çalıştırın. Şifrelenmiş bir yönetici bağlantısı başka bir istemci kitaplığının oturumu hakkında hiçbir şey söylemez ve değişkeni desteklemeyen daha eski bir derleme şifrelemenin kapalı olduğunun kanıtı değildir.

İstemci kitaplığı sürümünü, sunucu derlemesini ve sonucu birlikte kaydedin, çünkü bunlardan hiçbiri tek başına okunabilir değildir.

İzinler ve yükseltme yolu

Kaynakları kısıtlamak ve taşımayı şifrelemek kimlik doğrulamanın veya en az ayrıcalık izinlerinin yerini almaz. Sıradan veritabanı kullanıcısının gerçekten dokunduğu nesneler üzerindeki izinlerini denetleyin.

Son olarak, uzun ömürlü bir kurulumu bakım sorunu olarak ele alın. Tünel eski bir istemci kitaplığını süresiz olarak güvenli kılmaz ve desteklenen bir yükseltme yolu, ihtiyaç duyduğu eklentinin kaldırıldığını keşfetmekten daha ucuzdur.