Configuration of TCP/IP with SSL and TLS for Database Connections

by
Post Views: 1,201

สิ่งที่ต้องเตรียม

  1. Oracle Database Server ในตัวอย่างนี้ใช้ Oracle database บน Oracle Enterprise Linux 7
  2. Oracle Database Client  ในตัวอย่างใช้ Windows Server 2008 R2

เริ่ม

  • ฝั่ง Server
  • เข้าระบบด้วยบัญชีผู้ใช้ oracle หรือบัญชีที่เป็นเจ้าของ Oracle Database
  • เปิด terminal สร้าง Oracle Wallet ด้วยคำสั่ง

    • mkdir -p /u01/app/oracle/wallet

  • ต่อด้วย

    • orapki wallet create -wallet "/u01/app/oracle/wallet" -pwd WalletPasswd123 -auto_login_local

    • โดย -pwd WalletPasswd123 ตัว WalletPasswd123 คือรหัสผ่านที่ใช้ป้องกันการเข้าถึงข้อมูลต่างๆ ใน wallet กฎการตั้งมีอยู่คือ ยาวอย่างน้อย 8 ตัวอักษร ไม่จำกัดความยาว จำเป็นต้องตั้งให้ตัวเลขผสมตัวอักษร
  • สร้าง Certificate และใส่เข้าไปใน wallet ด้วยคำสั่ง

    • orapki wallet add -wallet "/u01/app/oracle/wallet" -pwd WalletPasswd123 \
      -dn "CN=`hostname`" -keysize 1024 -self_signed -validity 3650

  • ตรวจสอบด้วยคำสั่ง

    • orapki wallet display -wallet "/u01/app/oracle/wallet" -pwd WalletPasswd123

  • ได้ผลลัพธ์ประมาณ

    • Oracle PKI Tool : Version 12.1.0.2
      Copyright (c) 2004, 2014, Oracle and/or its affiliates. All rights reserved.

      Requested Certificates:
      User Certificates:
      Subject: CN=reis.psu.ac.th
      Trusted Certificates:
      Subject: CN=reis.psu.ac.th

  • Export Certificate เพื่อนำไปใช้กับเครื่อง Oracle Client ด้วยคำสั่ง

    • orapki wallet export -wallet "/u01/app/oracle/wallet" -pwd WalletPasswd123 \
      -dn "CN=`hostname`" -cert /tmp/server-certificate.crt

  • ตรวจสอบแฟ้มที่ export ไปด้วยคำสั่ง

    • cat /tmp/server-certificate.crt

  • ได้ผลลัพธ์ประมาณว่า

    • -----BEGIN CERTIFICATE-----
      MIIBoTCCAQoCAQAwDQYJKoZIhvcNAQEEBQAwGTEXMBUGA1UEAxMOcmVpcy5wc3UuYWMudGgwHhcN
      MTgwMTA5MDcyNTA2WhcNMjgwMTA3MDcyNTA2WjAZMRcwFQYDVQQDEw5yZWlzLnBzdS5hYy50aDCB
      nzANBgkqhkiG9w0BAQEFAAOBjQAwgYkCgYEAj4x2/NviDaTlXuEJt0kZARY5fHiT2SiVX+a18hai
      I0stoUhKKefjOCgB85iuqjIk0rvcGXI0KXkbenTy2t40A+qGxB04mBhCLKaKeIe67BZKR6Zyw1dd
      oaesoaWChC01b+IW1X5WWtC53UxpIZQ4Zktj41sLGUnarIr9+9HFwncCAwEAATANBgkqhkiG9w0B
      AQQFAAOBgQAqSCF2Y8uyM4rSQHUC8MKEl3Ia3NJKnigMOUzDc2fP7grSaoeuQ4NvIntTD+s+IT5Y
      EpLVND4kSHFTwGRq0Py/ig8ybXZCXfHtvNZh7ZGziL/sYt5/8xYi/tOBKwVanBTUaseKIMovtmd7
      UyoOKrX8YBoFsB3UPRLudmFsksXRXw==
      -----END CERTIFICATE-----

  • ฝั่ง Client
  • เข้าระบบด้วยบัญชีผู้ใช้ administrator
  • เปิด cmd แล้วสร้าง wallet ด้วยคำสั่ง

    • mkdir c:\app\oracle\wallet

สร้าง Certificate ด้วยคำสั่ง

    • orapki wallet add -wallet "c:\app\oracle\wallet" -pwd WalletPasswd123 -dn "CN=%computername%" -keysize 1024 -self_signed -validity 3650

    • โดย WalletPasswd123 คือพาสเวิร์ดที่ใช้ล็อค wallet ไม่จำเป็นต้องเหมือนกับของ Server
  • ตรวจสอบด้วยคำสั่ง

    • orapki wallet display -wallet "c:\app\oracle\wallet" -pwd WalletPasswd123

  • ได้ผลลัพธ์ประมาณว่า

    • Oracle PKI Tool : Version 12.2.0.1.0
      Copyright (c) 2004, 2016, Oracle and/or its affiliates. All rights reserved.

      Requested Certificates:
      User Certificates:
      Subject: CN=ENERAZAN
      Trusted Certificates:
      Subject: CN=ENERAZAN

  • Export Certificate เพื่อนำไปใช้กับเครื่อง Oracle Database Server ด้วยคำสั่ง

    • orapki wallet export -wallet "c:\app\oracle\wallet" -pwd WalletPasswd123 -dn "CN=%computername%" -cert c:\client-certificate.crt

  • ตรวจสอบแฟ้มที่ export ไปด้วยคำสั่ง
    • more c:\client-certificate.crt
  • ได้ผลลัพธ์ประมาณว่า

    • -----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----

  • ทำการส่งไฟล์ certificate แลกกันระหว่าง Server กับ Client โดยใช้วิธีการที่ชื่นชอบของแต่คน เมื่อแลกไฟล์กันเสร็จแล้ว
  • ฝั่ง Server import certificate ด้วยคำสั่ง

    • orapki wallet add -wallet "/u01/app/oracle/wallet" -pwd WalletPasswd123 \ -trusted_cert -cert /tmp/client-certificate.crt

  • สามารถตรวจสอบด้วยคำสั่ง

    • orapki wallet display -wallet "/u01/app/oracle/wallet" -pwd WalletPasswd123

  • ได้ผลลัพธ์ประมาณ

    • Oracle PKI Tool : Version 12.1.0.2
      Copyright (c) 2004, 2014, Oracle and/or its affiliates. All rights reserved.

      Requested Certificates:
      User Certificates:
      Subject: CN=reis.psu.ac.th
      Trusted Certificates:
      Subject: CN=ENERAZAN
      Subject: CN=reis.psu.ac.th

  • ฝั่ง Client import certificatae ด้วยคำสั่ง

    • orapki wallet add -wallet "c:\app\oracle\wallet" -pwd WalletPasswd123 -trusted_cert -cert c:\server-certificate.crt

  • สามารถตรวจสอบด้วยคำสั่ง
    • orapki wallet display -wallet “c:\app\oracle\wallet” -pwd WalletPasswd123
  • ได้ผลลัพธ์ประมาณว่า

    • Oracle PKI Tool : Version 12.2.0.1.0
      Copyright (c) 2004, 2016, Oracle and/or its affiliates. All rights reserved.

      Requested Certificates:
      User Certificates:
      Subject: CN=ENERAZAN
      Trusted Certificates:
      Subject: CN=reis.psu.ac.th
      Subject: CN=ENERAZAN

  • ฝั่ง Server แก้ไขแฟ้ม $ORACLE_HOME/network/admin/sqlnet.ora ด้วย editor ที่ชื่นชอบ
    • เพิ่มคำสั่งต่อไปนี้

    • WALLET_LOCATION =
      (SOURCE =
      (METHOD = FILE)
      (METHOD_DATA =
      (DIRECTORY = /u01/app/oracle/wallet)
      )
      )

      SQLNET.AUTHENTICATION_SERVICES = (TCPS,NTS,BEQ)
      SSL_CLIENT_AUTHENTICATION = FALSE
      SSL_CIPHER_SUITES = (SSL_RSA_WITH_AES_256_CBC_SHA, SSL_RSA_WITH_3DES_EDE_CBC_SHA)

แก้ไขแฟ้ม $ORACLE_HOME/network/admin/listener.ora

    • เพิ่มข้อความส่วนที่เป็นตัวหนาตามตำแหน่งต่อไปนี้

    • LISTENER =
      (DESCRIPTION_LIST =
      (DESCRIPTION =
      (ADDRESS = (PROTOCOL = TCP)(HOST = reis.psu.ac.th)(PORT = 1521))
      (ADDRESS = (PROTOCOL = IPC)(KEY = EXTPROC1521))
      (ADDRESS = (PROTOCOL = TCPS)(HOST = reis.psu.ac.th)(PORT = 2484))
      )
      )

      SSL_CLIENT_AUTHENTICATION = FALSE

      WALLET_LOCATION =
      (SOURCE =
      (METHOD = FILE)
      (METHOD_DATA =
      (DIRECTORY = /u01/app/oracle/wallet)
      )
      )

  • restart listener ด้วยคำสั่ง
    • lsnrctl stop
    • lsnrctl start
  • ฝั่ง Client แก้ไขแฟ้ม C:\app\client\Administrator\product\12.2.0\client_1\network\admin\sqlnet.ora โดยเพิ่มข้อความต่อไปนี้

    • WALLET_LOCATION =
      (SOURCE =
      (METHOD = FILE)
      (METHOD_DATA =
      (DIRECTORY = c:\app\oracle\wallet)
      )
      )

      SQLNET.AUTHENTICATION_SERVICES = (TCPS,NTS)
      SSL_CLIENT_AUTHENTICATION = FALSE
      SSL_CIPHER_SUITES = (SSL_RSA_WITH_AES_256_CBC_SHA, SSL_RSA_WITH_3DES_EDE_CBC_SHA)

  • แก้ไขแฟ้ม C:\app\client\Administrator\product\12.2.0\client_1\network\admin\tnsnames.ora เพิ่มข้อความต่อไปนี้

    • REIS_SSL =
      (DESCRIPTION =
      (ADDRESS_LIST =
      (ADDRESS = (PROTOCOL = TCPS)(HOST = reis.psu.ac.th)(PORT = 2484))
      )
      (CONNECT_DATA =
      (SERVICE_NAME = reis.psu.ac.th)
      )
      )

  • ทดสอบใช้งาน
  • ที่ Client พิมพ์คำสั่ง
    • sqlplus scott/tiger@reis_ssl
  • ได้ผลลัพธ์ประมาณว่า

    • SQL*Plus: Release 12.2.0.1.0 Production on Wed Feb 7 16:54:05 2018
      Copyright (c) 1982, 2016, Oracle. All rights reserved.

      Last Successful login time: Wed Feb 07 2018 16:52:50 +07:00

      Connected to:
      Oracle Database 12c Enterprise Edition Release 12.1.0.2.0 – 64bit Production
      With the Partitioning, OLAP, Advanced Analytics and Real Application Testing opt
      ions

      SQL>

  • หรือต่อด้วย SQL Developer ต้องตั้งค่าการเชื่อมต่อเป็นดังภาพ
  • จากภาพเลือก Connection Type เป็น Advanced และใช้ช่อง Custom JDBC URL ใส่เป็น jdbc:oracle:oci:/@reis_ssl
  • เนื่องจากไม่สามารถเชื่อมต่อผ่าน tns ได้ ดังภาพ
  • วิธีเซ็ตค่าแบบนี้ใช้ได้กับ Oracle Database 10G R2 เป็นต้นมา
  • จบขอให้สนุก

ที่มา:
https://oracle-base.com/articles/misc/configure-tcpip-with-ssl-and-tls-for-database-connections