Documentation
Table of Contents
2 °ä´Ç²Ô´Ú¾±²µ³Ü°ù²¹³¦¾±¨®²Ô de cifrado en PostgreSQL
Descripci¨®n general
Esta secci¨®n proporciona varios ejemplos de configuraci¨®n de cifrado para CentOS 8.2 y PostgreSQL 13.
La conexi¨®n entre la interfaz de Áú»¢¶Ä²© y PostgreSQL no se puede cifrar (los par¨¢metros en la GUI est¨¢n deshabilitados), si el valor de Equipo de Base de datos comienza con una barra o el campo est¨¢ vac¨ªo.
Requisitos previos
Instale la base de datos PostgreSQL usando el .
PostgreSQL no est¨¢ configurado para aceptar conexiones TLS de forma predeterminada. Siga las instrucciones de la documentaci¨®n de PostgreSQL para la y tambi¨¦n para el a trav¨¦s de ph_hba.conf.
De forma predeterminada, el socket PostgreSQL est¨¢ vinculado al equipo local, por lo que las conexiones remotas de red permiten escuchar en la interfaz de red real.
Las configuraciones de PostgreSQL para todos modos pueden verse as¨ª:
/var/lib/pgsql/13/data/postgresql.conf:
...
ssl = on
ssl_ca_file = 'root.crt'
ssl_cert_file = 'server.crt'
ssl_key_file = 'server.key'
ssl_ciphers = 'HIGH:MEDIUM:+3DES:!aNULL'
ssl_prefer_server_ciphers = on
ssl_min_protocol_version = 'TLSv1.3'
...Para el control de acceso ajuste /var/lib/pgsql/13/data/pg_hba.conf:
...
### require
hostssl all all 0.0.0.0/0 md5
### verify CA
hostssl all all 0.0.0.0/0 md5 clientcert=verify-ca
### verify full
hostssl all all 0.0.0.0/0 md5 clientcert=verify-full
...Modo requerido
Interfaz
Para habilitar el cifrado de solo el transporte para conexiones entre la interfaz de Áú»¢¶Ä²© y la base de datos:
- Marque Cifrado TLS de la base de datos
- Deje Verificar certificado de base de datos sin marcar
Servidor
Para habilitar el cifrado de solo transporte para las conexiones entre el servidor y la base de datos, configure /etc/zabbix/zabbix_server.conf:
...
DBHost=10.211.55.9
DBName=zabbix
DBUser=zbx_srv
DBPassword=<strong_password>
DBTLSConnect=required
...Modo de verificaci¨®n de CA
Interfaz
Para habilitar el cifrado con verificaci¨®n de la autoridad certificadora para las conexiones entre la interfaz de Áú»¢¶Ä²© y la base de datos:
- Verifique Cifrado TLS de base de datos y Verificar certificado de base de datos
- Especifique la ruta al archivo CA TLS de base de datos
Alternativamente, esto se puede configurar en /etc/zabbix/web/zabbix.conf.php:
...
$DB['ENCRYPTION'] = true;
$DB['KEY_FILE'] = '';
$DB['CERT_FILE'] = '';
$DB['CA_FILE'] = '/etc/ssl/pgsql/root.crt';
$DB['VERIFY_HOST'] = false;
$DB['CIPHER_LIST'] = '';
...Servidor
Para habilitar el cifrado con verificaci¨®n de certificado para conexiones entre el servidor Áú»¢¶Ä²© y la base de datos, configure /etc/zabbix/zabbix_server.conf::
...
DBHost=10.211.55.9
DBName=zabbix
DBUser=zbx_srv
DBPassword=<strong_password>
DBTLSConnect=verify_ca
DBTLSCAFile=/etc/ssl/pgsql/root.crt
...Modo de verificaci¨®n completa
Interfaz
Para habilitar el cifrado con certificado y la verificaci¨®n de identidad del equipo de la base de datos para las conexiones entre la interfaz de Áú»¢¶Ä²© y la base de datos:
- Verifique Cifrado TLS de base de datos y Verificar certificado de base de datos
- Especifique la ruta al archivo de clave TLS de la base de datos
- Especifique la ruta al archivo CA TLS de base de datos
- Especifique la ruta al archivo de certificado TLS de base de datos
- Marque Verificaci¨®n del equipo de la base de datos
Alternativamente, esto se puede configurar en /etc/zabbix/web/zabbix.conf.php:
$DB['ENCRYPTION'] = true;
$DB['KEY_FILE'] = '';
$DB['CERT_FILE'] = '';
$DB['CA_FILE'] = '/etc/ssl/pgsql/root.crt';
$DB['VERIFY_HOST'] = true;
$DB['CIPHER_LIST'] = '';
...Servidor
Para habilitar el cifrado con certificado y verificaci¨®n de la identidad del equipo de la base de datos para conexiones entre el servidor Áú»¢¶Ä²© y la base de datos, configure /etc/zabbix/zabbix_server.conf: