Informix 12.10 и SSL / Informix

ReSQL.ru

Мобильная версия Контакт Правила FAQ Помощь

Гость

Войти | Регистрация | Профиль | Очистить

Новые сообщения | Избранное

Форумы | Пользователи | Статистика | Мод. лог | Поиск

Доб. в избранное | Игнор. тему | Прикреп. тему | Пометить прочит. / непрочит. | Фильтр

Форумы / Informix [игнор отключен] [закрыт для гостей] / Informix 12.10 и SSL

8 сообщений из 8, страница 1 из 1

Informix 12.10 и SSL

#39295700

vvt1

Гость

Коллеги!

Сразу бы хотел извиниться, что поднимаю эту избитую тему, но вот — не поднимается.
Статьи и доку от IBM читал. Мануал по IBM GSK так же.

Informix: 12.10.FC4W1
OS: SunOS 5.10 (Solaris 10 update 6)
GSK: 8 (8.0.50.20)

Собственно сделал ключехранилище:

Код: plaintext

gsk8capicmd_64 -keydb -create -db indbron.kdb -pw mypasshere -type cms -stash

Сделал SSL сертификат:

Код: plaintext

1.
2.

gsk8capicmd_64 -cert -create -db indbron.kdb -stashed -type cms \
               -label key2016 -size 2048 -expire 400 \
               -dn "CN=indbr,O=MYORG,C=RU"

В ${INFORMIXDIR}/etc/onconfig определил:

Код: plaintext

1.
2.
3.

    SSL_KEYSTORE_LABEL key2016 
    NETTYPE tlissl,1,40,NET 
    VPCLASS encrypt,num=3,noage 
    DBSERVERALIASES indbrssl

В ${INFORMIXDIR}/etc/conssl.cfg прописал ( честно говоря, думаю, что это только клиенту надо, а не серверу ):

Код: plaintext

    SSL_KEYSTORE_FILE   /opt/informix/ssl/indbron.kdb
    SSL_KEYSTORE_STH    /opt/informix/ssl/indbron.sth

В /etc/services имя порта определил ( не обязательно, можно, конечно и цифером напрямую в sqlhosts указать, но так, красиво )

Код: plaintext

sqlssl          7995/tcp                        # Informix TLS/SSL

В ${INFORMIXDIR}/etc/sqlhosts указал:

Код: plaintext

indbrssl        ontlissl        indbr           sqlssl

В общем, перегружаю сервер — не встает. В логах ошибки нет, а так как у меня сервер отобрали разработчики, то точно сформулировать не смогу – не догадался записать. Но суть ошибки — не определен протокол. Опять же, так как сервер забирали, для быстрого старта изменил в sqlhosts для записи с ontlissl на ontlitcp и все стартануло. Даже мап есть к 7995 порту:

Код: plaintext

1.
2.

informix@indbr:~$ netstat -na | grep 7995
192.168.1.1.7995          *.*                0      0 49152      0 LISTEN

Вот и не пойму. Что за трабла то в записи sqlhosts? Вроде их формат ddiiippp – выдержан. Да, для Solaris iii не soc, а tli — так что это особенность и тут все верно.

Возможно проблема лежит прям на самом видном месте и поэтому я её не вижу. Пока вот не могу понять чем именно ontlissl не устроил этот Informix.

P.S.: Пароли и IP тут конечно же не настоящие :-)

...

Рейтинг:

0 / 0

22.08.2016, 17:23

| Ответить | Цитировать | Написать

Informix 12.10 и SSL

#39295808

victor16

Гость

vvt1,

Можно попробовать поиграться параметрами NETTYPE и VPCLASS:

Код: plaintext

1.
2.
3.
4.
5.
6.
7.
8.
9.

...
NETTYPE ontlissl,1,40,NET
или
NETTYPE tlissl,1,40,NET
...
VPCLASS tlissl,num=1,noage
или
VPCLASS ssl,num=1,noage
...

а вообще лучше почитать release для вашей платформы

...

Рейтинг:

0 / 0

22.08.2016, 23:40

| Ответить | Цитировать | Написать

Informix 12.10 и SSL

#39296226

vvt1

Гость

В release/en_us – ничего особенного нету по этому вопросу.

Попробую поднять на Linux – посмотреть. Если все получится, то остаётся только одно — грешить на Solaris zone, из-за которой и так уже были пляски с этим GSKit. По-крайней мере внутри зоны забивается болт на NOAGE параметр IDS, но про это честно пишется в online.log хотя бы.

Чей-то у меня пока нехорошие думки в адрес Solaris zone.

...

Рейтинг:

0 / 0

23.08.2016, 13:21

| Ответить | Цитировать | Написать

Informix 12.10 и SSL

#39296321

vvt1

Гость

Как и предполагал под Red Hat Enterprise Linux Server release 6.8 (Santiago), такой древненький дистрибутик — все с полпинка встало.

Неужели все дело в зоне солярки этой? Помню на 7-ке ISM на отрез отказывался внутри зоны работать.
Есть над чем мне теперь подумать...

...

Рейтинг:

0 / 0

23.08.2016, 14:43

| Ответить | Цитировать | Написать

Informix 12.10 и SSL

#39296452

vvt1

Гость

Получилось. Правда, это больше напоминает перекошенный костыль.
Сижу, думаю &ndash выравнивать или ну его...

В общем, при всех тех параметрах, что я указал в начале топика, выдается:

Код: plaintext

1.
2.
3.
4.

The specified service name or protocol is unknown. Error -25507.

WARNING: server initialization failed or timed out.
Check the message log, online.log, for errors.

Короче, говорит, что накосячил в NETTYPE, sqlhosts или /etc/services при определении протокола.

После Linux думаю, ну ладно, сделаем 1 к 1 как в документации и опишем в sqlhosts формат протокола ddiiippp не как ontlissl, что является верным для Solaris (хотя бы по аналогии с работающим ontlitcp), а как в документации тупо-в-лоб onsocssl (onsoctcp – это характерно для Linux). При этом в onconfig осталось

Код: plaintext

1.
2.
3.

NETTYPE         ipcshm,1,250,CPU
NETTYPE         tlitcp,1,250,NET 
NETTYPE         tlissl,1,250,NET

Прошу заметить, tlissl. По-идее — это гарантированная ошибка -25507 должна быть. Ан нет. Стартануло. Хм...
Оки, а давайка telnet на порт сделаем:

Код: plaintext

1.
2.
3.
4.
5.

informix$ telnet h2 7995
Trying 10.9.202.81...
Connected to h2.cib.ru.
Escape character is '^]'.
REST
Connection to h2.cib.ru closed by foreign host.

И в логах видим:

Код: plaintext

15:58:41  IBM Global Security Kit (GSKit) version 8.0.50.20.
15:58:44  listener-thread: err = -28014: oserr = 0: errstr = GSK_ERROR_BAD_MESSAGE: Secure Sockets Layer error: GSK_ERROR_BAD_MESSAGE.

Тобишь, SSL порт не просто слушается, но и повязан с IBM GSKit. Ну, пока о 100% работоспособности говорить рано, надо клиентом туда влезть, но это уже не просто закрытие как у 7200 порта (tlitcp).

Сейчас ещё попробую поэксперементировать, пока и этот сервер не отобрали. Возможно для симметрии, перфекционизм, требует выставить тоже NETTYPE socssl. В release это не написано. Но сейчас посмотрю еще раз.

Десять лет следуя:

Код: plaintext

1.
2.
3.
4.
5.
6.
7.
8.

# nettype is an 8-character string specifying the protocol in this format:
#
# ddiiippp
#
# where
#   dd  =  Database product [|ol|on|dr]
#   iii =  Interface type [ipc|soc|tli|sql]
#   ppp =  Protocol [imc|nmp|shm|spx|str|tcp|ssl|mux]

я для Solaris писал iii = tli. А тут такая засада :-(

...

Рейтинг:

0 / 0

23.08.2016, 16:06

| Ответить | Цитировать | Написать

Informix 12.10 и SSL

#39296556

victor16

Гость

vvt1Десять лет следуя:

Код: plaintext

1.
2.
3.
4.
5.
6.
7.
8.

# nettype is an 8-character string specifying the protocol in this format:
#
# ddiiippp
#
# where
#   dd  =  Database product [|ol|on|dr]
#   iii =  Interface type [ipc|soc|tli|sql]
#   ppp =  Protocol [imc|nmp|shm|spx|str|tcp|ssl|mux]

я для Solaris писал iii = tli. А тут такая засада :-(

В документации про это есть :)
https://www.ibm.com/support/knowledgecenter/SSGU8G_11.70.0/com.ibm.cpi.doc/ids_cpi_034.htm

...

Рейтинг:

0 / 0

23.08.2016, 17:56

| Ответить | Цитировать | Написать

Informix 12.10 и SSL

#39296913

vvt1

Гость

victor16В документации про это есть :)
https://www.ibm.com/support/knowledgecenter/SSGU8G_11.70.0/com.ibm.cpi.doc/ids_cpi_034.htm

Выходит с версии 11.7 они стали поддерживать нормально Berkeley sockets, что в общем то все и объясняет.
Я до прошлого года на 7-ке просто сидел ещё, поэтому по закостеневшим шаблонам.

Хотя, это не оправдывает промаха моего.

Спасибо!

...

Рейтинг:

0 / 0

24.08.2016, 10:48

| Ответить | Цитировать | Написать

Informix 12.10 и SSL

#39344189

vvt1

Гость

Еще один костыль любимый.

Код: plaintext

Secure Sockets Layer error: GSK_ERROR_BAD_KEYFILE_PASSWORD

А все от чего?
А от невнимательности. В каталоге ${INFORMIXDIR}/ssl/ файлы ключей должны создаваться с именем определенным переменной DBSERVERNAME , а не именем хоста, на котором крутится СУБД Informix.

Т.е. должно быть так в ${INFORMIXDIR}/ssl/:

Код: plaintext

1.
2.
3.
4.

-rw-------   1 informix informix     ${INFORMIXSERVER}.crl
-rw-------   1 informix informix     ${INFORMIXSERVER}.kdb
-rw-------   1 informix informix     ${INFORMIXSERVER}.rdb
-rw-------   1 informix informix     ${INFORMIXSERVER}.sth

Где, конечно же ${INFORMIXSERVER} eq DBSERVERNAME

...

Рейтинг:

0 / 0

09.11.2016, 13:33

| Ответить | Цитировать | Написать

8 сообщений из 8, страница 1 из 1

Форумы / Informix [игнор отключен] [закрыт для гостей] / Informix 12.10 и SSL

Цитировать

Написать

Автор*:

Ввести пароль для входа

Тема*:

Сообщение

Данное сообщение тематическое

Сообщение содержит картинки или видео 18+

Автор:

ВНИМАНИЕ! На данном подфоруме действуют строгие правила. Удостоверьтесь, что ваше сообщение соответствует им!

Форум или тема закрыты для гостей. Необходима авторизация!

Загрузить последнюю сохраненную версию

Вложение:

Вставить как галерею

Максимальный размер вложений: 4,0 МБ, аудио/видео: 8,0 МБ. Картинки большего размера ужимаются, если возможно.

Введите код, изображенный на картинке. Если код нечитаемый, кликните картинку, чтобы загрузить другой вариант.

Отправляя сообщение, я выражаю свое согласие с правилами форума и принимаю пользовательское соглашение.

Читали тему (0):

Читали форум (0):

Пользователи онлайн (0):

start [/forum/topic.php?fid=44&msg=39296452&tid=1606791]:	0ms
get settings:	9ms
get forum list:	13ms
check forum access:	4ms
check topic access:	4ms
track hit:	32ms
get topic data:	12ms
get forum data:	2ms
get page messages:	44ms
get tp. blocked users:	2ms
others:	251ms

total:	373ms