Changes between Version 1 and Version 2 of Documentatie/Beheerder/Installeren/Installatiehandleiding/MySQL

Timestamp:

Feb 2, 2011 11:19:49 AM (15 years ago)

Author:

adriaan

Comment:

--

Documentatie/Beheerder/Installeren/Installatiehandleiding/MySQL

@@ -21 +21 @@
 innodb_file_per_table=1
 }}}
+
+== Beveiligde Verbinding == #verbinding
+
+Bij gebruik van MySQL ondersteunen we twee directe verbindingsoorten (vanaf OpenAC v1.212, juni 2009).  Deze zijn vooral interessant voor kleinere (perifere) instellingen waar veel beheer op afstand plaatsvindt.  Voor deze verbindingen hoeft geen VPN te worden opgezet maar moet wel in de firewall MySQL-poort 3306 worden opengezet voor verkeer van buitenaf.
+
+ * De simpelste soort is gericht op efficiency en heet '''MySQL Compressed'''.  Je selecteert deze optie in plaats van '''MySQL direct''' in het inlogscherm van OpenAC.  Hierbij worden de gegevens die over de datalijn lopen gecomprimeerd.  Dit kan flink schelen wanneer lange lijsten gegevens worden opgehaald, bijvoorbeeld wanneer bij een holding op afstand managementoverzichten worden opgevraagd uit de lokale databases van OpenAC.
+
+ * De tweede soort is gericht op beveiliging van de getransporteerde (patiënt-)gegevens tegen toegang door derden bij een connectie over het open internet.  Deze optie heet '''MySQL secure'''.  Om van deze functie gebruik te maken zijn wat installatiestappen nodig, zie onder.  Vooral het aanmaken van de certificaten kan een lastig klusje zijn, lukt dit echt niet, neem dan contact op met FENAC ICT voor assistentie.
+
+'''Installatie van SSL certificaten in de MySQL server en OpenAC clients'''.
+
+1. Volg de instructie onder ''Example 3: Creating SSL files on Windows'' op de [http://dev.mysql.com/doc/refman/5.0/en/secure-create-certs.html MySQL website].
+
+2. Je hebt nu 8 bestanden gemaakt:
+{{{
+ca-cert.pem
+ca-key.pem
+client-cert.pem
+client-key.pem
+client-req.pem
+server-cert.pem
+server-key.pem
+server-req.pem
+}}}
+
+3. De CA-bestanden en de SERVER-bestanden kopieer je naar '''C:\\Program Files\\MySQL\\MySQL Server 5.0\\''', waar je ook het bestandje '''my.ini''' vindt.
+
+4. De CA-bestanden en de CLIENT-bestanden kopieer je naar de configuratiemap ('''Application Data\OpenAC''' of '''.openac''') van de gebruikers die gebruik gaan maken van de beveiligde verbinding.
+
+ * LET OP: de SERVER-bestanden moeten niet samen met de CLIENT-bestanden worden bewaard, want daarmee geef je het recept weg om de beveiligde verbinding af te luisteren.
+
+5. Voeg in '''my.ini''' onder '''[mysqld]''' na de regel '''port=3306''' de volgende regels in:
+
+{{{
+ssl-ca="C:/Program Files/MySQL/MySQL Server 5.0/ca-cert.pem"
+ssl-cert="C:/Program Files/MySQL/MySQL Server 5.0/server-cert.pem"
+ssl-key="C:/Program Files/MySQL/MySQL Server 5.0/server-key.pem" 
+}}}
+
+6. Herstart de MySQL server.
+
+7. Gebruik een recente starter kit met Python 2.5.  Start OpenAC, verander de '''gegevensbron''' van '''mysql direct''' in '''mysql secure''' en log in.
+
+8. Je weet nu dat de beveiligde verbinding werkt.  De volgende stap is om de toegang tot de database van buitenaf te regelen.  Dit kan door de '''GRANT'''-regels die je normaal intypt, aan te passen zodat verbindingen binnen het AC niet hoeven te worden beveiligd, maar die van buitenaf wel (vervang ''mijn-ac.nl'' door de naam van het lokale netwerk).
+
+{{{
+grant all on openac.* to 'fenac'@'localhost' identified by 'dbc';
+grant all on openac.* to 'fenac'@'%.mijn-ac.nl' identified by 'dbc';
+grant all on openac.* to 'fenac'@'%' identified by 'dbc' require SSL;
+exit
+}}}
+