Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.
VPNTerowongan adalah koneksi terenkripsi antara dua atau lebih perangkat melalui jaringan. Untuk memastikan tingkat keamanan tertinggi untuk instans Oracle Data Guard Anda di RDS Custom for Oracle, kami sangat menyarankan Anda menerapkan VPN terowongan untuk mengenkripsi komunikasi antara instans utama dan siaga Anda. Terowongan berfungsi sebagai pengaman untuk data sensitif saat melakukan perjalanan jaringan antar instance. Meskipun konfigurasi ini opsional, kami merekomendasikannya sebagai praktik terbaik untuk mencapai keamanan data dan kepatuhan terhadap peraturan.
Pastikan Anda memenuhi prasyarat berikut:
-
Anda memiliki akses root ke host utama dan siaga.
-
Anda memiliki keahlian teknis untuk menjalankan
ipsecperintah.
Untuk mengkonfigurasi VPN terowongan antara primer dan replika di RDS Custom for Oracle
-
Tambahkan grup keamanan untuk instance utama dan instance siaga ke daftar izinkan menggunakan aturan berikut:
ACTION FLOW SOURCE PROTO PORT ALLOW ingress this-SG 50 (ESP) all (N/A) ALLOW egress this-SG 50 (ESP) all (N/A) ALLOW ingress this-SG 17 (UDP) 500 (IKE) ALLOW egress this-SG 17 (UDP) 500 (IKE) -
Beralih ke pengguna akar.
$ sudo su – root -
Jalankan perintah berikut pada instance utama dan instance siaga untuk menginisialisasi database Network Security Services (NSS) di bawah pengguna.
rootipsec initnss --nssdir /etc/ipsec.d -
Hasilkan RSA kunci sebagai berikut:
-
Pada contoh utama, buat kunci menggunakan salah satu dari
ipsecperintah berikut, tergantung pada versi OS Anda.ipsec newhostkey --nssdir /etc/ipsec.d ## for Oracle Linux Version 8 ipsec newhostkey --output /etc/ipsec.secrets ## for Oracle Linux version 7.9 -
Dapatkan kunci publik, yang Anda butuhkan untuk membuat konfigurasi. Dalam contoh berikut, contoh utama adalah
leftkarena dalamipsecbahasa,leftmengacu pada perangkat yang sedang Anda konfigurasi, danrightmengacu pada perangkat di ujung lain terowongan.ipsec showhostkey --left --ckaidckaid-returned-in-last-statement -
Pada instance siaga, buat kunci untuk instance siaga.
ipsec newhostkey --nssdir /etc/ipsec.d ## for Oracle Linux Version 8 ipsec newhostkey --output /etc/ipsec.secrets ## for Oracle Linux version 7.9 -
Dapatkan kunci publik untuk instance siaga, yang Anda perlukan untuk membuat konfigurasi. Dalam contoh berikut, contoh siaga adalah
rightkarena mengacu pada perangkat di ujung lain terowongan.ipsec showhostkey --right --ckaidckaid-returned-in-last-statement
-
-
Berdasarkan RSA kunci yang Anda peroleh, buat konfigurasi. Konfigurasi identik untuk instance primer dan instance siaga. Anda dapat menemukan IPv4 alamat instans utama dan IPv4 alamat instans siaga di AWS konsol.
Pada instance utama dan instance siaga, simpan konfigurasi berikut ke file
/etc/ipsec.d/custom-fb-tunnel.conf.conn custom-db-tunnel type=transport auto=add authby=rsasig left=IPV4-for-primaryleftrsasigkey=RSA-key-generated-on-primaryright=IPV4-for-standbyrightrsasigkey=RSA-key-generated-on-standby -
Pada instance utama dan instance siaga, mulai
ipsecdaemon pada kedua host.ipsec setup start -
Mulai terowongan baik pada instance utama atau instance siaga. Outputnya akan terlihat serupa dengan yang berikut ini:
[root@ip-172-31-6-81 ~]# ipsec auto --up custom-db-tunnel 181 "custom-db-tunnel" #1: initiating IKEv2 connection 181 "custom-db-tunnel" #1: sent IKE_SA_INIT request to 172.31.32.196:500 182 "custom-db-tunnel" #1: sent IKE_AUTH request {cipher=AES_GCM_16_256 integ=n/a prf=HMAC_SHA2_512 group=DH19} 003 "custom-db-tunnel" #1: initiator established IKE SA; authenticated peer '3584-bit PKCS#1 1.5 RSA with SHA1' signature using preloaded certificate '172.31.32.196' 004 "custom-db-tunnel" #2: initiator established Child SA using #1; IPsec transport [172.31.6.81-172.31.6.81:0-65535 0] -> [172.31.32.196-172.31.32.196:0-65535 0] {ESP/ESN=>0xda9c4815 <0xb742ca42 xfrm=AES_GCM_16_256-NONE DPD=passive} [root@ip-172-31-6-81 ~]#
