Documentation
Table of Contents
2 °ä´Ç²Ô´Ú¾±²µ³Ü°ù²¹³¦¾±¨®²Ô de cifrado PostgreSQL
Descripci¨®n general
Esta secci¨®n proporciona varios ejemplos de configuraci¨®n de cifrado para CentOS 8.2 y PostgreSQL 13.
La conexi¨®n entre la interfaz de Áú»¢¶Ä²© y PostgreSQL no se puede cifrar (los par¨¢metros en la GUI est¨¢n deshabilitados), si el valor de Equipo de Base de datos comienza con una barra o el campo est¨¢ vac¨ªo.
Requisitos previos
Instale la base de datos PostgreSQL usando el .
PostgreSQL no est¨¢ configurado para aceptar conexiones TLS listas para usar. Siga las instrucciones de la documentaci¨®n de PostgreSQL para la y tambi¨¦n para el a trav¨¦s de ph_hba.conf.
De forma predeterminada, el socket PostgreSQL est¨¢ vinculado al host local, por lo que las conexiones remotas de red permiten escuchar en el interfaz de red real.
Las configuraciones de PostgreSQL para todos los modos puede verse as¨ª:
/var/lib/pgsql/13/data/postgresql.conf:
...
ssl = on
ssl_ca_file = 'root.crt'
ssl_cert_file = 'server.crt'
ssl_key_file = 'server.key'
ssl_ciphers = 'HIGH:MEDIUM:+3DES:!aNULL'
ssl_prefer_server_ciphers = activado
ssl_min_protocol_version = 'TLSv1.3'
...Para control de acceso ajuste /var/lib/pgsql/13/data/pg_hba.conf:
...
### require
hostssl all all 0.0.0.0/0 md5
### verify CA
hostssl all all 0.0.0.0/0 md5 clientcert=verify-ca
### verify full
hostssl all all 0.0.0.0/0 md5 clientcert=verify-full
...Modo requerido
Interfaz
Para habilitar el cifrado de solo el transporte para conexiones entre la interfaz de Áú»¢¶Ä²© y la base de datos:
- Marque Cifrado TLS de la base de datos
- Deje Verificar certificado de base de datos sin marcar
Servidor
Para habilitar el cifrado de solo transporte para las conexiones entre el servidor y la base de datos, configure /etc/zabbix/zabbix_server.conf:
...
DBHost=10.211.55.9
DBName=zabbix
DBUser=zbx_srv
DBPassword=<strong_password>
DBTLSConnect=required
...Modo de verificaci¨®n de CA
Interfaz
Para habilitar el cifrado con verificaci¨®n de la autoridad certificadora para conexiones entre la interfaz de Áú»¢¶Ä²© y la base de datos:
- Verifique Cifrado TLS de base de datos y Verificar certificado de base de datos
- Especifique la ruta al archivo CA TLS de base de datos
Alternativamente, esto se puede configurar en /etc/zabbix/web/zabbix.conf.php:
...
$DB['ENCRYPTION'] = true;
$DB['KEY_FILE'] = '';
$DB['CERT_FILE'] = '';
$DB['CA_FILE'] = '/etc/ssl/pgsql/root.crt';
$DB['VERIFY_HOST'] = false;
$DB['CIPHER_LIST'] = '';
...Servidor
Para habilitar el cifrado con verificaci¨®n de certificado para conexiones entre el servidor Áú»¢¶Ä²© y la base de datos, configure /etc/zabbix/zabbix_server.conf::
...
DBHost=10.211.55.9
DBName=zabbix
DBUser=zbx_srv
DBPassword=<strong_password>
DBTLSConnect=verify_ca
DBTLSCAFile=/etc/ssl/pgsql/root.crt
...Modo de verificaci¨®n completa
Interfaz
Para habilitar el cifrado con certificado y la verificaci¨®n de identidad del equipo de la base de datos para las conexiones entre la interfaz de Áú»¢¶Ä²© y la base de datos:
- Verifique Cifrado TLS de base de datos y Verificar certificado de base de datos
- Especifique la ruta al archivo de clave TLS de la base de datos
- Especifique la ruta al archivo CA TLS de base de datos
- Especifique la ruta al archivo de certificado TLS de base de datos
- Marque Verificaci¨®n del equipo de la base de datos
Alternativamente, esto se puede configurar en /etc/zabbix/web/zabbix.conf.php:
$DB['ENCRYPTION'] = true;
$DB['KEY_FILE'] = '';
$DB['CERT_FILE'] = '';
$DB['CA_FILE'] = '/etc/ssl/pgsql/root.crt';
$DB['VERIFY_HOST'] = true;
$DB['CIPHER_LIST'] = '';
...Servidor
Para habilitar el cifrado con certificado y verificaci¨®n de la identidad del equipo de la base de datos para conexiones entre el servidor Áú»¢¶Ä²© y la base de datos, configure /etc/zabbix/zabbix_server.conf: