Безопасные соединения TCP/IP с помощью туннелей SSH
Эта страница переведена при помощи нейросети GigaChat.
Можно использовать SSH для преобразования сетевого соединения между клиентами и сервером PostgreSQL. При правильном выполнении это обеспечивает достаточно безопасное сетевое соединение даже для клиентов, не поддерживающих SSL.
Сначала убедитесь, что на той же машине, что и сервер PostgreSQL, работает сервер SSH, и можно войти в систему под именем пользователя; затем можно установить защищенный туннель к удаленному серверу. Защищенный туннель прослушивает локальный порт и перенаправляет весь трафик на порт удаленного компьютера. Данные, отправленные на удаленный порт, могут прибыть на его localhost адрес или другой адрес привязки, если это необходимо; он не выглядит так, будто исходит от локального компьютера. Эта команда создает защищенный туннель от клиентского компьютера до удаленной машины foo.com:
ssh -L 63333:localhost:5432 joe@foo.com
Первый номер в аргументе -L , 63333, является номером локального порта туннеля; это может быть любой неиспользуемый порт. (IANA резервирует порты с 49152 по 65535 для частного использования.) Имя или IP-адрес после этого - удаленный адрес привязки, к которому подключаются, т.е. localhost , который является значением по умолчанию. Второй номер, 5432, - это удаленный конец туннеля, например, номер порта, который использует сервер баз данных. Чтобы подключиться к серверу баз данных с использованием этого туннеля, необходимо подключиться к порту 63333 на локальной машине:
psql -h localhost -p 63333 postgres
Для сервера баз данных будет казаться, что пользователь joe на хосте foo.com подключается к адресу привязки localhost , и он будет использовать ту процедуру аутентификации, которая была настроена для соединений этим пользователем с этим адресом привязки. Обратите внимание, что сервер не подумает, что соединение преобразовано SSL, поскольку фактически оно не преобразуется между серверами SSH и PostgreSQL. Это не должно представлять никакого дополнительного риска безопасности, потому что они находятся на одной машине.
Чтобы настройка туннеля прошла успешно, необходимо разрешить подключение через ssh как joe@foo.com , точно так же, как если бы была попытка использовать ssh для создания сеанса терминала.
Также можно настроить переадресацию портов следующим образом:
ssh -L 63333:foo.com:5432 joe@foo.com
но тогда сервер базы данных будет видеть соединение как входящее на его foo.com привязанный адрес, который не открыт настройками по умолчанию listen_addresses = 'localhost'. Обычно это не то, что нужно.
Если необходимо «прыгать» к серверу базы данных через какой-то хост входа, одна возможная настройка может выглядеть так:
ssh -L 63333:db.foo.com:5432 joe@shell.foo.com
Обратите внимание, что таким образом соединение от shell.foo.com до db.foo.com не будет зашифровано туннелем SSH. SSH предлагает довольно много возможностей настройки, когда сеть ограничена различными способами. Пожалуйста, обратитесь к документации SSH для получения подробной информации.
Существует несколько других приложений, которые могут обеспечивать безопасные туннели с использованием процедуры, аналогичной описанной выше.