Hyppää sisältöön

Edellytykset

Kone

OS

Appliance-laitteen tarjoama PostgreSQL-klusteri perustuu 64-bittiseen Debian 12 (bookworm) -käyttöjärjestelmään.

CPU

PostgreSQL-klusterin kutakin solmua kohti on suositeltavaa varata 4 CPU-ydintä.

RAM

PostgreSQL-klusterin kutakin solmua kohti on suositeltavaa varata 4 GB RAM-muistia.

Levy

Virtuaalisen appliance-laitteen mukana toimitetaan 60 GB:n virtuaalilevy.

Verkko

PostgreSQL-klusteri vaatii 4 IP-osoitetta:

  • 1 todellinen IP-osoite kutakin PostgreSQL-solmua kohti
  • 1 virtuaalinen IP-osoite PostgreSQL-klusterille

Varoitus!

PostgreSQL-klusterin solmujen todellisten ja virtuaalisten IP-osoitteiden on kaikkien kuuluttava samaan aliverkkoon.

PostgreSQL-klusterin solmut sijoitetaan yleensä LAN-verkkoon, jotta CyberElements Bastion pääsee niihin Edge Gateway -palvelimien kautta.

Koneiden eri osoitteiden tunnistamisen helpottamiseksi ne nimetään dokumentaatiossa seuraavasti:

IP-osoitteen nimi Merkitys
RIP_PSQL_1 PostgreSQL-solmun nro 1 todellinen IP-osoite.
RIP_PSQL_2 PostgreSQL-solmun nro 2 todellinen IP-osoite.
RIP_PSQL_3 PostgreSQL-solmun nro 3 todellinen IP-osoite.
VIP_PSQL PostgreSQL-klusterin virtuaalinen IP-osoite.
Lähde Kohde Kohdeportti Kommentit
RIP_PSQL_1
RIP_PSQL_2
RIP_PSQL_3		 Debian-repositoryt TCP 80 Vaaditaan CyberElements Bastion -tuotteen riippuvuuksien asentamiseen ja järjestelmän pitämiseen ajan tasalla. Dokumentaatio ja virtuaaliset appliance-laitteet käyttävät osoitteita ftp.fr.debian.org ja security.debian.org.
RIP_PSQL_1
RIP_PSQL_2
RIP_PSQL_3		 DNS-palvelin UDP 53 Vaaditaan DNS-selvitykseen. Valinnainen, jos DNS-palvelin on käytettävissä LAN- tai DMZ-verkossa.
RIP_PSQL_1
RIP_PSQL_2
RIP_PSQL_3		 NTP-aikapalvelin UDP 123 Valinnainen, jos palvelimen on synkronoitava kellonsa LAN- tai DMZ-verkon palvelimen kanssa. Oletuksena käytetään Debian-pooleja: 0.debian.pool.ntp.org, 1.debian.pool.ntp.org, 2.debian.pool.ntp.org ja 3.debian.pool.ntp.org.
Lähde Kohde Kohdeportti Kommentit
RIP_PSQL_1
RIP_PSQL_2
RIP_PSQL_3		 RIP_PSQL_1
RIP_PSQL_2
RIP_PSQL_3		 TCP 2379 Klusterin toimintaan käytettävä portti, jota ETCD kuuntelee.
RIP_PSQL_1
RIP_PSQL_2
RIP_PSQL_3		 RIP_PSQL_1
RIP_PSQL_2
RIP_PSQL_3		 TCP 2380 Klusterin toimintaan käytettävä portti, jota ETCD kuuntelee.
RIP_PSQL_1
RIP_PSQL_2
RIP_PSQL_3		 RIP_PSQL_1
RIP_PSQL_2
RIP_PSQL_3		 TCP 5432 SQL-yhteysportti, jota PostgreSQL kuuntelee (oletusporttia voi muuttaa).
RIP_PSQL_1
RIP_PSQL_2
RIP_PSQL_3		 RIP_PSQL_1
RIP_PSQL_2
RIP_PSQL_3		 TCP 8008 Klusterin toimintaan käytettävä portti, jota Patroni kuuntelee.
RIP_PSQL_1
RIP_PSQL_2
RIP_PSQL_3		 DNS-palvelin UDP 53 Vaaditaan DNS-selvitykseen. Valinnainen, jos DNS-palvelin on käytettävissä WAN- tai DMZ-verkossa.
RIP_PSQL_1
RIP_PSQL_2
RIP_PSQL_3		 NTP-aikapalvelin UDP 123 Valinnainen, jos palvelimen on synkronoitava kellonsa WAN- tai DMZ-verkon palvelimen kanssa. Oletuksena käytetään Debian-pooleja: 0.debian.pool.ntp.org, 1.debian.pool.ntp.org, 2.debian.pool.ntp.org ja 3.debian.pool.ntp.org.
Hallintatyöasemien IP-osoitteet tai verkkoalue RIP_PSQL_1
RIP_PSQL_2
RIP_PSQL_3		 TCP 22 SSH-etähallinnan portti.
Hallintatyöasemien IP-osoitteet tai verkkoalue RIP_PSQL_1
RIP_PSQL_2
RIP_PSQL_3		 TCP 5432 SQL-yhteysportti, jota PostgreSQL käyttää (oletusporttia voi muuttaa).
Hallintatyöasemien IP-osoitteet tai verkkoalue VIP_PSQL TCP 5432 SQL-yhteysportti, jota PostgreSQL käyttää (oletusporttia voi muuttaa).
Niiden Edge Gateway -palvelimien IP-osoitteet, joiden on päästävä PostgreSQL-klusteriin VIP_PSQL TCP 5432 SQL-yhteysportti, jota PostgreSQL käyttää (oletusporttia voi muuttaa).

Sertifikaatit

PostgreSQL-klusteri salaa solmujensa väliset tietoliikennevirrat sekä klusterin toimintaa että SQL-yhteyksiä varten. Kyseessä on TLS-salaus, joka edellyttää sertifikaattien käyttöä.
Alla olevat tiedot kokoavat PostgreSQL-klusterin sertifikaateilta vaadittavat asetukset ja vaihtoehdot.

Sertifikaatin turvallisuusvaatimus

Varmista käytetystä sertifikaatista riippumatta, että se vastaa OpenSSL:n suojaustasoa 2, joka voidaan tiivistää seuraavasti:

  • Sertifikaatilla ja sen varmentajien sertifikaateilla on oltava vähintään 2048 bitin yksityinen avain RSA-, DSA- ja DH-salauksella; elliptisten käyrien avaimilla (ECC) niiden on oltava vähintään 224 bittiä.
  • Sertifikaatin allekirjoitus ei saa olla MD5 tai SHA-1 (SHA-512 on suositeltavin).

Jokainen PostgreSQL-solmu käyttää yhtä ainoaa sertifikaattia, mutta sen on myös tuotava juurivarmentajan (CA) sertifikaatti.
Juuri-CA odotetaan Base64-koodatussa crt-muodossa.

PostgreSQL-solmun sertifikaatin on vastattava seuraavia asetuksia:

  • Allekirjoitukseen käytetyn tiivistefunktion on kuuluttava SHA-2-perheeseen; suosittelemme SHA-512:ta.
  • Sertifikaatilla ja sen varmentajien sertifikaateilla on oltava vähintään 2048 bitin yksityinen avain RSA-, DSA- ja DH-salauksella; elliptisten käyrien avaimilla (ECC) niiden on oltava vähintään 224 bittiä. Suosittelemme RSA:lle 4096 bitin kokoa ja secp384r1-ECDSA-käyrää, jonka koko on 384 bittiä.
  • Common Name -attribuutin arvona on oltava palvelimen lyhyt nimi (FQDN:n antaminen aiheuttaa virheitä).
  • Attribuutilla Key Usage on oltava arvot critical, digitalSignature ja keyEncipherment.
  • Extended Key Usage -attribuutilla on oltava arvot serverAuth ja clientAuth.
  • Subject Alternative Name -attribuutti on määritettävä siten, että se kattaa:
    • Todelliseen IP-osoitteeseen liitetyn PostgreSQL-solmun nimi
    • Virtuaaliseen IP-osoitteeseen liitetyn PostgreSQL-klusterin nimi
    • PostgreSQL-solmun todellinen IP-osoite
    • PostgreSQL-klusterin virtuaalinen IP-osoite

Odotettu sertifikaatin muoto: P12.