העברת מנהרת SSH

ב-Datastream, מנהרת SSH להעברה מאפשרת ליצור חיבור מוצפן למסד נתונים של מקור ברשת ציבורית. כדי להגדיר את שיטת הקישוריות הזו, בוחרים מארח סיום, מאפשרים תנועה מכתובות ה-IP של Datastream ומגדירים את המנהרה בפרופיל חיבור.

שלב 1: בוחרים מארח שבו רוצים לסיים את המנהרה

השלב הראשון בהגדרת גישה למנהרת SSH למסד הנתונים הוא לבחור את המארח שישמש לסיום המנהרה. אפשר לסיים את המנהרה במארח של מסד הנתונים עצמו או במארח נפרד (שרת המנהרה).

שימוש בשרת של מסד הנתונים

היתרון של סיום המנהרה במסד הנתונים הוא הפשטות. יש מארח אחד פחות, כך שאין מכונות נוספות והעלויות שקשורות אליהן. החיסרון הוא ששרת מסד הנתונים שלכם עשוי להיות ברשת מוגנת שאין לה גישה ישירה מהאינטרנט.

שימוש בשרת מנהור

היתרון של סיום המנהרה בשרת נפרד הוא ששרת מסד הנתונים לא נגיש מהאינטרנט. אם שרת המנהרה נפרץ, הוא נמצא במרחק שלב אחד משרת מסד הנתונים. מומלץ להסיר את כל התוכנות והמשתמשים הלא חיוניים משרת המנהרה, ולעקוב אחריו מקרוב באמצעות כלים כמו מערכת לגילוי חדירות (IDS).

שרת המנהרה יכול להיות כל מארח Unix או Linux ש:

  1. אפשר לגשת אליהם מהאינטרנט באמצעות SSH.

  2. יכול לגשת למסד הנתונים.

שלב 2: יצירת רשימת היתרים של כתובות IP

השלב השני בהגדרת הגישה למנהרת SSH במסד הנתונים הוא לאפשר לתנועה ברשת להגיע לשרת המנהרה או למארח של מסד הנתונים באמצעות SSH, שבדרך כלל נמצא ביציאת TCP‏ 22.

מאפשרים תנועה ברשת מכל אחת מכתובות ה-IP של האזור שבו נוצרו המשאבים של Datastream.

שלב 3: שימוש במנהרת ה-SSH

מזינים את פרטי המנהרה בהגדרות של פרופיל החיבור. מידע נוסף זמין במאמר יצירת פרופיל חיבור.

כדי לאמת את סשן מנהרת ה-SSH, צריך להזין ב-Datastream את הסיסמה לחשבון המנהרה או מפתח פרטי ייחודי. כדי להשתמש במפתח פרטי ייחודי, אתם יכולים להשתמש בכלי שורת הפקודה OpenSSH או OpenSSL כדי ליצור מפתחות.

המפתח הפרטי נשמר ב-Datastream באופן מאובטח כחלק מהגדרת פרופיל החיבור של Datastream. צריך להוסיף את המפתח הציבורי באופן ידני לקובץ ~/.ssh/authorized_keys של היעד המבוצר.

יצירת מפתחות פרטיים וציבוריים

כדי ליצור מפתחות SSH:

  • ‫ssh-keygen: כלי שורת פקודה של OpenSSH ליצירת זוגות מפתחות SSH.

    דגלים שימושיים:

    • ‫-t: מציין את סוג המפתח שרוצים ליצור, לדוגמה:

      ssh-keygen -t rsa

      ssh-keygen -t ed25519

    • ‫-b: מציין את אורך המפתח שרוצים ליצור, לדוגמה:

      ssh-keygen -t rsa -b 2048

    • ‫-y: קורא קובץ פרטי בפורמט OpenSSH ומדפיס מפתח ציבורי של OpenSSH לפלט סטנדרטי (stdout).

    • ‫-f: מציין את שם הקובץ של קובץ המפתח, לדוגמה:

      ssh-keygen -y [-f KEY_FILENAME]

    מידע נוסף על דגלים נתמכים זמין במסמכי התיעוד של OpenBSD.

כדי ליצור מפתח PEM פרטי, אפשר להשתמש בשיטה הבאה:

  • ‫openssl genpkey: כלי שורת פקודה של OpenSSL ליצירת מפתח פרטי מסוג PEM.

    דגלים שימושיים:

    • ‫algorithm: מציין את אלגוריתם המפתח הציבורי שבו צריך להשתמש, לדוגמה:

      openssl genpkey -algorithm RSA

    • ‫-out: מציין את שם הקובץ שאליו המפתח יישלח, לדוגמה:

      openssl genpkey -algorithm RSA -out PRIVATE_KEY_FILENAME.pem

    מידע נוסף על דגלים נתמכים זמין במסמכי התיעוד של OpenSSL.

המאמרים הבאים