5 Conexión segura a la base de datos

Descripción general

Esta sección proporciona pasos de configuración de Zabbix y ejemplos de configuración para conexiones TLS seguras entre:

Para configurar el cifrado de la conexión dentro del DBMS, consulte la documentación del proveedor oficial para más detalles:

• MySQL: Servidores de bases de datos de replicación de origen y réplica.
• MySQL: replicación de grupos, etc. servidores de bases de datos.
• PostgreSQL opciones de cifrado.

Todos los ejemplos se basan en las versiones GA de MySQL CE (8.0) y PgSQL. (13) disponibles a través de repositorios oficiales usando CentOS 8.

Requisitos

Se requiere lo siguiente para configurar el cifrado:

• Sistema operativo con OpenSSL >=1.1.X o alternativas soportado por desarrolladores .

• Motor de base de datos (RDBMS) instalado y mantenido desde el sitio oficial con repositorio proporcionado por el desarrollador. Los sistemas operativos a menudo se envían con versiones obsoletas de software de bases de datos para las cuales el soporte de cifrado no está implementado, por ejemplo, sistemas basados en RHEL 7 y PostgreSQL 9.2, MariaDB 5.5 sin soporte de cifrado.

Terminología

Configurar esta opción obliga a usar una conexión TLS a la base de datos desde el servidor/proxy de Zabbix y el frontend a la base de datos:

• required - conectar usando TLS como modo de transporte sin comprobaciones de identidad
• verify_ca - conectar usando TLS y verificar el certificado
• verify_full - conectar usando TLS, verificar el certificado y verificar que la identidad de la base de datos (CN) especificada por DBHost coincida con su certificado

Configuración de Zabbix

Interfaz a la base de datos

Se puede configurar una conexión segura a la base de datos durante la instalación de la interfaz:

• Marque la casilla de verificación Cifrado TLS de base de datos en el paso Configurar conexión de base de datos para habilitar el cifrado de transporte.
• Marque la casilla de verificación Verificar certificado de base de datos que aparece cuando el campo Cifrado TLS está marcado para habilitar el cifrado con certificados.

Los siguientes parámetros están disponibles en el cifrado TLS en modo de certificado (si ambas casillas de verificación están marcadas):

Casos de uso

La interfaz gráfica de Zabbix utiliza la interfaz GUI para definir las opciones posibles: required, verify_ca, verify_full. Especifique las opciones requeridas en el paso del asistente de instalación Configurar conexiones a la base de datos. Estas opciones se asignan al archivo de configuración (zabbix.conf.php) de la siguiente manera:

Configuración GUI	Archivo de configuración	Descripción	Resultado
	... // Usado para conexión TLS. $DB['ENCRYPTION'] = true; $DB['KEY_FILE'] = ''; $DB['CERT_FILE'] = ''; $DB['CA_FILE'] = ''; $DB['VERIFY_HOST'] = false; $DB['CIPHER_LIST'] = ''; ...	Marque Cifrado TLS de base de datos Deje Verificar certificado de base de datos sin marcar	Habilita el modo required.
	... $DB['ENCRYPTION'] = true; $DB['KEY_FILE'] = ''; $DB['CERT_FILE'] = ''; $DB['CA_FILE'] = '/etc/ssl/mysql/ca.pem'; $DB['VERIFY_HOST'] = false; $DB['CIPHER_LIST'] = ''; ...	1. Marque Cifrado TLS de base de datos y Verificar certificado de base de datos 2. Especifique la ruta al Archivo CA TLS de base de datos	Habilita el modo verify_ca.
	... // Usado para conexión TLS con lista de cifrados estrictamente definida. $DB['ENCRYPTION'] = true; $DB['KEY_FILE'] = '<ruta_archivo_clave>'; $DB['CERT_FILE'] = '<ruta_archivo_clave>'; $DB['CA_FILE'] = '<ruta_archivo_clave>'; $DB['VERIFY_HOST'] = true; $DB['CIPHER_LIST'] = '<lista_cifrados>'; ... O bien: ... // Usado para conexión TLS sin lista de cifrados definida - seleccionada por el servidor MySQL $DB['ENCRYPTION'] = true; $DB['KEY_FILE'] = '<ruta_archivo_clave>'; $DB['CERT_FILE'] = '<ruta_archivo_clave>'; $DB['CA_FILE'] = '<ruta_archivo_clave>'; $DB['VERIFY_HOST'] = true; $DB['CIPHER_LIST'] = ''; ...	1. Marque Cifrado TLS de base de datos y Verificar certificado de base de datos 2. Especifique la ruta al Archivo de clave TLS de base de datos 3. Especifique la ruta al Archivo CA TLS de base de datos 4. Especifique la ruta al Archivo de certificado TLS de base de datos 5. Especifique la Lista de cifrados TLS de base de datos (opcional)	Habilita el modo verify_full para MySQL.
	... $DB['ENCRYPTION'] = true; $DB['KEY_FILE'] = '<ruta_archivo_clave>'; $DB['CERT_FILE'] = '<ruta_archivo_clave>'; $DB['CA_FILE'] = '<ruta_archivo_clave>'; $DB['VERIFY_HOST'] = true; $DB['CIPHER_LIST'] = ' '; ...	1. Marque Cifrado TLS de base de datos y Verificar certificado de base de datos 2. Especifique la ruta al Archivo de clave TLS de base de datos 3. Especifique la ruta al Archivo CA TLS de base de datos 4. Especifique la ruta al Archivo de certificado TLS de base de datos 5. Marque Verificación de host de base de datos	Habilita el modo verify_full para PostgreSQL.

Consulte también: Ejemplos de configuración de cifrado para MySQL, Ejemplos de configuración de cifrado para PostgreSQL.

Configuración del servidor/proxy de Zabbix

Las conexiones seguras a la base de datos pueden configurarse con los parámetros correspondientes en el archivo de configuración de Zabbix server y/o proxy.