اتصال مستقیم (بدون عامل)
پشتیبان‌گیری از پایگاه داده مدیریت‌شده از راه TLS یا تونل SSH، با سیاست نشانی ضد SSRF و IP های خروجی ثابت.
چه زمانی اتصال مستقیم
وقتی نمی‌توانید برنامه‌ای روی سرور پایگاه داده نصب کنید (مثلا پایگاه داده مدیریت‌شده ابری)، کارگر نمایک خودش به پایگاه داده وصل می‌شود، خروجی می‌گیرد و رمزنگاری می‌کند. رمز پایگاه داده مهرشده نزد سرویس کلید نگه داشته و فقط در زمان همان کار باز می‌شود.
موتورها و روش‌ها
| موتور | نوع / مقدار | توضیح |
|---|---|---|
PostgreSQL | TLS · SSH | TLS با verify-full یا verify-ca و CA اختصاصی. |
MongoDB | TLS · SSH | TLS از راه پیشکار ثابت‌شده روی IP. |
Redis | TLS · SSH | TLS از راه پیشکار ثابت‌شده روی IP. |
MySQL · MariaDB | فقط SSH | برای این دو موتور فقط تونل SSH. |
SQLite · SQL Server | — | فقط با عامل نمایک. |
TLS
اتصال TLS با verify-full (نام میزبان و زنجیره گواهی) یا verify-ca انجام می‌شود و در صورت نیاز گواهی CA اختصاصی را می‌پذیرد. اتصال بدون رمزنگاری پذیرفته نمی‌شود (BACKUP_DIRECT_TLS_REQUIRED).
تونل SSH
کلید SSH اختصاصی
پنل برای هر منبع یک جفت کلید می‌سازد؛ بخش عمومی آن یک خط authorized_keys محدودشده است.افزودن خط
خط را به authorized_keys کاربری بی‌دسترسی روی سرور خود اضافه کنید؛ آن خط فقط باز کردن تونل به پایگاه داده را مجاز می‌کند.آزمایش اتصال
«آزمایش اتصال» را بزنید؛ اثر انگشت کلید سرور SSH نمایش داده می‌شود.تایید اثر انگشت
اثر انگشت را با خروجی ssh-keygen -lf روی سرور مقایسه و تایید کنید؛ تغییر بعدی کلید سرور کارها را متوقف و به شما هشدار می‌دهد.
شبکه و IP های خروجی
- نشانی‌های داخلی، loopback، link-local و متادیتای ابر در ذخیره و پیش از هر اتصال رد می‌شوند (BACKUP_DIRECT_HOST_BLOCKED).
- نام میزبان هر بار تازه resolve و اتصال به همان IP ثابت می‌شود (ضد DNS rebinding).
- فقط درگاه‌های مجاز تنظیمات؛ TCP ساده هرگز.
- IP های خروجی نمایک در پنل منبع نمایش داده می‌شوند تا فقط همان‌ها را در دیواره آتش باز کنید.
آخرین به‌روزرسانی: