活动专区

活动公告

上车！GBase 8a开发者联盟发车了 技术福利、人脉资源全都有！

认证培训专区

认证培训资料

GBase 8s GDCA 认证培训课前准备

GBase 8a

其他

物化视图报错：references invalid table(s) or column(s) or function(s) or definer/invoker of view lack rights to use them

01-GBase 8s 事务型数据库 安装与卸载

GBase 8s

适配迁移

[GBase 8s 教程]GBase 8s 常用函数、表达式

### 1.	概述  
数据传输加密是指在网络中传输的数据需要加密传输，从而确保数据的机密性和完整性。  
针对网络中传输的数据进行加密，焦点就在连接上。对于GBase 8s体系下，总共有如下连接场景需要进行数据传输加密：  
1)	客户端连接数据库服务端，包含：csdk或jdbc连接GBase 8s。  
2)	客户端连接到连接管理器，包含：csdk或jdbc连接连接管理器。无论连接管理器选择代理，还是重定向，客户端都会建立到连接管理器的连接。  
3)	连接管理器连接数据库服务端。  
4)	数据库服务端连接数据库服务端。对于高可用环境，数据库服务端之间是存在连接的。  
对于连接而言，数据库服务端和连接管理器都存在组的概念。客户端可以选择连接数据库服务端的组或者连接管理器的组。经过调研，真正的连接不是建立在组上的。客户端代码，会根据sqlhosts的配置，在连接前选择合适数据库服务端或连接管理器进行连接。根据这个情况，对于组的连接不需要专门讨论。  
本文基于数据库版本为GBase 8s V8.8 3.0.0_1，操作系统为CentOS 7.8编写。  





### 2. 准备证书  
GBase 8s配置传输加密功能，首先需要生成数字证书，后续将数字证书分别导入到服务端和客户端的密钥数据库（也称作密钥库）中。    
附件：gbasedbt_certs.tar 包含了已经生成的私有数字证书。   
数字证书的密钥是：11111111 
 
[gbasedbt_certs.tar][1]  

### 3.	安全连接配置  
#### 3.1.  数据库服务端配置  
首先，Server需要部署的内容包括如下部分：  
1)	onconfig需要配置参数encrypt VP和相应的网络类型。示例如下：  
```text
DBSERVERALIASES gbase01_ssl

VPCLASS encrypt,num=1
NETTYPE socssl,1,150,NET
```
2)	\${GBASEDBTSQLHOSTS}.ext，指向数据加密传输的配置文件。  
环境变量中必须要指定GBASEDBTSQLHOSTS配置参数指定的文件。  

3)	\${GBASEDBTDIR}/certs 目录，保存证书、私钥和根证。  
解压gbasedbt_certs.tar到\${GBASEDBTDIR} 目录下，生成certs。  

4)	GBASEDBTSQLHOSTS文件
GBASEDBTSQLHOSTS文件中有一项配置是服务端实例或实例别名的连接类型。此次新增了一种提供传输加密功能的连接类型——socssl。要使用该功能的话，需要将对应实例的连接类型配置成socssl。  
```text
gbase01_ssl  onsocssl  0.0.0.0 9089
```

5)  GBASEDBTSQLHOSTS.ext文件  
GBASEDBTSQLHOSTS.ext文件用于ssl的相应配置。  

##### 3.1.1.  准备服务端证书文件  
本章节的所有操作都需要使用操作系统的gbasedbt用户完成。  
需要通过\${GBASEDBTSQLHOSTS}.ext指定配置文件。  

假定Server安装在/opt/gbase中，在sqlhosts中指定socssl的实例名是gbase01_ssl。  
配置文件的示例如下：  
```text
# ${GBASEDBTSQLHOSTS}.ext
[config]
GBS_TYPE=gbasessl

# DBSERVERNAME or DBSERVERALIASES with onsocssl
[gbase01_ssl]
server=gbase_ssl_server
client=gbase_ssl_client

[gbase_ssl_server]
TLSCACertificateFile=/opt/gbase/certs/ca/ca-cert.pem
TLSCertificateFile=/opt/gbase/certs/server/server-cert.pem
TLSCertificateKeyFile=/opt/gbase/certs/server/server-key.pem
TLSCertificateKeyFilePasswd=DqOUlNa1c2OMcEEbvTG30w==
TLSVerifyCert=never

[gbase_ssl_client]
TLSCACertificateFile=/opt/gbase/certs/ca/ca-cert.pem
TLSCertificateFile=/opt/gbase/certs/dba1/dba1-cert.pem
TLSCertificateKeyFile=/opt/gbase/certs/dba1/dba1-key.pem
TLSCertificateKeyFilePasswd=DqOUlNa1c2OMcEEbvTG30w==
TLSVerifyCert=never

```
由于Server端也会部署dbaccess，另外，Server端也会安装csdk。因此，需要在配置文件中写入gbase_ssl_client。  

##### 3.1.2.  启用加密
修改\$GBASEDBTDIR/etc/sqlhosts配置文件， 将需要启用传输加密功能的实例的连接类型设置为onsocssl；如下述示例中，两个数据库服务名称gbase01、gbase01_ssl，服务名gbase01连接类型为onsoctcp，为普通的tcp通信方式，服务名gbase01_ssl的连接类型为onsocssl，启用了传输加密方式：  
```text
gbase01			onsoctcp	192.168.0.4		9088
gbase01_ssl		onsocssl	192.168.0.4		9089
```

##### 3.1.3.	配置数据库参数  
修改\$GBASEDBTDIR/etc/\$ONCONFIG配置文件，配置参数。  
1)	使同一实例同时支持普通通讯方式和加密通讯方式：通过设置DBSERVERALIASES来增加服务的别名，这样可以在sqlhosts配置文件中设置当前服务支持多种类型的连接，如下示例中实例名gbase01、gbase01_ssl都为当前数据库服务实例名，但是在sqlhosts配置文件中可以配置为不同的连接类型，这样客户端就可以通过多种通信方式与数据库服务通信：  
```text
DBSERVERNAME 		gbase01
DBSERVERALIASES	gbase01_ssl
```
2)	配置支持通讯加密的VP：数据库加密和解密操作将由Encrypt VP执行。通过VPCLASS来配置该类型VP的属性；如果未配置VPCLASS，则 Server会默认启动一个 Encrypt VP。VPCLASS的配置请参考《GBase 8s管理员参考手册》，示例如下：  
```text
VPCLASS encrypt,num=1
```
3)	配置支持通讯加密的连接方式：设置 NETTYPE 来配置数据库连接的轮询线程和每个线程的连接数。如果未配置轮询线程，则 Server将启动一个轮询线程。NETTYPE的配置请参考《GBase 8s管理员参考手册》，示例如下：  
```text
NETTYPE socssl,1,50,NET
```
##### 3.1.4.  重启服务  
服务端证书配置好后，需要重启数据库服务来生效。  

#### 3.2.  配置CSDK的传输加密  
这里特指只安装了CSDK的客户端  
CSDK需要部署的内容包括如下部分：  
1)	\${GBASEDBTSQLHOSTS}.ext，指向数据加密传输的配置文件  
2)	certs目录，保存证书、私钥和根证。  
3)	GBASEDBTSQLHOSTS文件  
用来配置待连接的服务端实例或实例别名。和server端一样，需要将对应实例的连接类型配置成socssl。  
##### 3.2.1.  准备客户端证书文件  
客户端也需要通过\${GBASEDBTSQLHOSTS}.ext指定数据库配置文件。  
假定CSDK客户端安装在/opt/gbase中。客户端需要连接的实例名是gbase01_ssl。配置文件示例，如下：   
```text
# ${GBASEDBTSQLHOSTS}.ext
[config]
GBS_TYPE=gbasessl

# DBSERVERNAME or DBSERVERALIASES with onsocssl
[gbase01_ssl]
client=gbase_ssl_client

[gbase_ssl_client]
TLSCACertificateFile=/opt/gbase/certs/ca/ca-cert.pem
TLSCertificateFile=/opt/gbase/certs/dba1/dba1-cert.pem
TLSCertificateKeyFile=/opt/gbase/certs/dba1/dba1-key.pem
TLSCertificateKeyFilePasswd=DqOUlNa1c2OMcEEbvTG30w==
TLSVerifyCert=never

```
##### 3.2.2.  dbaccess、odbc之sqlhosts配置  
dbaccess、odbc通过修改\$GBASEDBTDIR/etc/sqlhosts配置文件来指定连接的启用传输加密的数据库服务实例，并将连接类型设置为onsocssl来启用客户端的传输加密功能，示例如下：  
```text
gbase01_ssl		onsocssl	192.168.0.4		9089  
```
示例中gbase01_ssl为启用传输加密的数据库服务实例。  

##### 3.2.3.  dbaccess验证  
配置完后通过dbaccess连接启用传输加密的数据库服务，如果可以正常连接并执行SQL语句，则dbaccess传输加密功能配置成功。  
1)	配置环境变量：  
创建文件gbase01_ssl.ksh，并通过source命令执行。文件内容如下：  
```text
export GBASEDBTDIR=/opt/gbase							# 安装目录
export GBASEDBTSERVER=gbase01_ssl						# 服务名称
export GBASEDBTSQLHOSTS=${GBASEDBTDIR}/etc/sqlhosts	# SQLHOSTS文件
```
示例中GBASEDBTDIR根据dbaccess为Server还是CSDK中的dbaccess来设置为CSDK或者Server的安装路径。  
2)	dbaccess连接  
执行dbaccess，然后执行SQL，如果执行成功则说明dbaccess配置后可以正常运行。  

##### 3.2.4. ODBC验证
可以通过unixODBC程序来测试ODBC在配置传输加密功能后能否正常使用  
1)	配置环境变量：  
创建文件gbase01_ssl.ksh，并通过source命令执行。文件内容如下：  
```text
export GBASEDBTDIR=/opt/gbase							# 安装目录
export GBASEDBTSERVER=gbase01_ssl						# 服务名称
export GBASEDBTSQLHOSTS=${GBASEDBTDIR}/etc/sqlhosts	    # SQLHOSTS文件
export ODBCINI=/home/gbase/odbc.ini					    # ODBCINI位置
export LD_LIBRARY_PATH=${GBASEDBTDIR}/lib:$GBASEDBTDIR/lib/cli:${GBASEDBTDIR}/lib/esql:${LD_LIBRARY_PATH}  # LD库文件目录
```
2)	配置ODBC：  
根据ODBC配置文件\${GBASEDBTDIR}/etc/odbc.ini，按照实际环境创建odbc.ini  
```text
;---------------------------------------------------------------------------
; GBase ODBC Sample File
;
; File:		odbc.ini
;
;---------------------------------------------------------------------------
[ODBC Data Sources]
gbase01_ssl=GBase ODBC DRIVER
;
; Define ODBC Database Driver's Below - Driver Configuration Section
;
[gbase01_ssl]
Driver=/opt/gbase/lib/cli/iclis09b.so
Description=GBase ODBC DRIVER
Database=testdb
LogonID=gbasedbt
pwd=GBase123
Servername=gbase01_ssl
CursorBehavior=0
CLIENT_LOCALE=zh_CN.utf8
DB_LOCALE=zh_CN.utf8
TRANSLATIONDLL=/opt/gbase/lib/esql/igo4a304.so
;
; UNICODE connection Section
;
[ODBC]
;uncomment the below line for UNICODE connection
;UNICODE=UCS-4
;
; Trace file Section
;
Trace=0
TraceFile=/tmp/odbctrace.out
InstallDir=/opt/gbase
TRACEDLL=idmrs09a.so
```
3)	ODBC连接测试：  
通过isql -v gbase01_ssl连接到数据库， SQL语句操作如果执行成功则说明ODBC配置后可以正常运行。  
```shell
isql -v gbase01_ssl
```
```text
+---------------------------------------+
| Connected!                            |
|                                       |
| sql-statement                         |
| help [tablename]                      |
| quit                                  |
|                                       |
+---------------------------------------+
SQL> select user from dual;
+---------------------------------+
|                                 |
+---------------------------------+
| gbasedbt                        |
+---------------------------------+
SQLRowCount returns -1
1 rows fetched
SQL>
```

#### 3.3.  配置JDBC的传输加密  
JDBC的传输加密功能独立于其他客户端的配置，在使用JDBC的程序中进行必要的设置。  
##### 3.3.1.  JDBC客户端配置证书  
gbasedbt_certs.tar 解压到jdbc客户端。   

例如/home/gbase/java目录下。


##### 3.3.2.  JDBC验证用例  
本节提供了一个验证JDBC传输加密功能的示例程序，连接数据库服务并获取数据库服务的版本信息，然后按照步骤编译运行即可。  
```java
import java.sql.Connection;
import java.sql.DriverManager;
import java.sql.SQLException;

public class SSLTest {

    public static void main(String[] args) {
        Connection conn = null;
        try {
            /* System properties for keystore */
            String propdir = System.getProperty("user.dir");
			/* keyStore */
            System.setProperty("javax.net.ssl.keyStore", propdir + "/certs/sysdba/sysdba.keystore");
            System.setProperty("javax.net.ssl.keyStorePassword", "11111111");
			/* trustStore */
            System.setProperty("javax.net.ssl.trustStore", propdir + "/certs/ca/ca.truststore");
            System.setProperty("javax.net.ssl.trustStorePassword", "11111111");

            try {
                Class.forName("com.gbasedbt.jdbc.Driver");
            } catch (ClassNotFoundException e) {
                e.printStackTrace();
            }

            /* useSSL=true;sslConnection=true */
			String url = "jdbc:gbasedbt-sqli://a02.gbasedbt.com:9088/testdb:gbasedbtserver=gbase01_ssl;" + 
			"DB_LOCALE=zh_CN.utf8;CLIENT_LOCALE=zh_CN.utf8;useSSL=true;sslConnection=true";
            String username = "gbasedbt";
            String password = "GBase123";
            conn = DriverManager.getConnection(url, username, password);
            if(conn != null) {
                System.out.println(" Successfully connected to GBasedbt database using SSL Connection");
                System.out.println(" Database version  ...: " + conn.getMetaData().getDatabaseProductName());
            }
        } catch (Exception e) {
            System.err.println("Error Message : " +e.getMessage());
            if(e instanceof SQLException)
                System.err.println("Error Code : " +((SQLException)e).getErrorCode());
            e.printStackTrace();
        } finally {
            if(conn != null)
                try {
                    conn.close();
                } catch (SQLException e) {}
        }
    }

}
```
编译，需要将gbasedbtjdbc.jar加入到CLASSPATH中：  
```shell
javac -cp .:./gbasedbtjdbc.jar SSLTest.java
```
运行  
```shell
java -cp .:./gbasedbtjdbc.jar SSLTest
```
结果如下，表示使用ssl连接成功  
```text
 Successfully connected to GBasedbt database using SSL Connection
 Database version  ...: 12.10.FC4G1AEE
```

注：本文替代之前的版本： [GBase 8s传输加密SSL配置][2]


  [1]: https://gbasedbt.com/dl/GBase8s-Certs/gbasedbt_certs.tar
  [2]: https://gbasedbt.com/index.php/archives/264/

安装配置

GBase 8s 传输加密SSL配置

GBase 8s 传输加密SSL配置

评论

热门帖子