轉送 SSH 通道

在 Datastream 中，轉送 SSH 通道可讓您透過公用網路，建立與來源資料庫的加密連線。如要設定這個連線方式，請選擇終止主機、允許來自 Datastream IP 位址的流量，並在連線設定檔中設定通道。

步驟 1：選擇要終止通道的主機

如要為資料庫設定 SSH 通道存取權，第一步是選擇要用來終止通道的主機。通道可以在資料庫主機本身或獨立主機 (通道伺服器) 上終止。

使用資料庫伺服器

在資料庫上終止通道的優點是作業簡單，由於涉及的主機少了一個，因此不會有額外的機器和相關費用。缺點是資料庫伺服器可能位於受保護的網路，無法直接從網際網路存取。

使用通道伺服器

在獨立伺服器上終止通道的好處，是可防止資料庫伺服器透過網際網路存取。如果通道伺服器遭到入侵，則會從資料庫伺服器中移除一個步驟。建議您從通道伺服器中移除所有非必要的軟體和使用者，並使用入侵偵測系統 (IDS) 等工具密切監控。

通道伺服器可以是任何符合下列條件的 Unix 或 Linux 主機：

  1. 可透過網際網路使用 SSH 存取。

  2. 可以存取資料庫。

步驟 2：建立 IP 許可清單

為資料庫設定 SSH 通道存取權的第二個步驟，是允許網路流量使用 SSH 連線至通道伺服器或資料庫主機，這通常是在 TCP 通訊埠 22。

允許來自 Datastream 資源建立區域 IP 位址的網路流量。

步驟 3：使用 SSH 通道

在連線設定檔中提供通道詳細資料。詳情請參閱「建立連線設定檔」。

Datastream 需要通道帳戶的密碼或不重複的私密金鑰，才能驗證 SSH 通道工作階段。如要使用不重複的私密金鑰，可以透過 OpenSSH 或 OpenSSL 指令列工具產生金鑰。

Datastream 會將私密金鑰安全地儲存為 Datastream 連線設定檔設定的一部分。您必須手動將公開金鑰新增至堡壘主機的 ~/.ssh/authorized_keys 檔案。

產生私密和公開金鑰

您可以使用下列方法產生安全殼層金鑰：

  • ssh-keygen：OpenSSH 指令列工具，用於產生安全殼層金鑰組。

    實用旗標：

    • -t：指定要建立的金鑰類型，例如：

      ssh-keygen -t rsa

      ssh-keygen -t ed25519

    • -b：指定要建立的金鑰長度，例如：

      ssh-keygen -t rsa -b 2048

    • -y：讀取私人 OpenSSH 格式檔案，並將 OpenSSH 公開金鑰輸出至標準輸出內容。

    • -f：指定金鑰檔案的檔案名稱，例如：

      ssh-keygen -y [-f KEY_FILENAME]

    如要進一步瞭解支援的旗標，請參閱 OpenBSD 說明文件。

您可以使用下列方法產生私密 PEM 金鑰：

  • openssl genpkey：用於產生 PEM 私密金鑰的 OpenSSL 指令列工具。

    實用旗標：

    • algorithm：指定要使用的公開金鑰演算法，例如：

      openssl genpkey -algorithm RSA

    • -out：指定要輸出金鑰的檔案名稱，例如：

      openssl genpkey -algorithm RSA -out PRIVATE_KEY_FILENAME.pem

    如要進一步瞭解支援的旗標，請參閱 OpenSSL 說明文件。

後續步驟