Sichere Verbindung zu anderen Systemen
Verbindungen über HTTPS oder direkt zu einem Host und Port, TLS 1.2 als Mindeststandard, selbst hochgeladene Zertifikate und ein Test, der genau angibt, was fehlgeschlagen ist.
Eine Verbindung unter Plattform → Konnektivität → Integration → Verbindungen ist ein Connector, der auf ein reales System verweist: Ihr altes ERP-System, ein Verzeichnis, einen Mailserver oder die API eines Partners. Sie enthält Informationen zum Standort des Systems, zum Identitätsnachweis und zu den Anmeldeinformationen, die TRANXACT dem System übermittelt – verschlüsselt und niemals zurückgesendet.
Zwei Wege, um ein System zu erreichen
| Transport | Was Sie eintragen | Wann man es verwendet |
|---|---|---|
| HTTPS | Endpunkt-URL. Sie muss in jeder Umgebung, einschließlich Test- und Entwicklungsumgebung, mit https:// beginnen. | Eine Web-API oder ein Webdienst, der über das Internet oder Ihr eigenes Netzwerk erreichbar ist. |
| Direkt | Host (nur Name oder Adresse), Port und Protokoll. | Eine Datenbank, ein Verzeichnis oder ein Dienstport, der über einen Netzwerkpfad wie VPN, Interconnect oder Peering erreicht wird. |
Eine direkte Verbindung benennt ihr Protokoll, da Systeme TLS auf zwei verschiedene Arten starten:
- tls – TLS ab dem ersten Byte. LDAPS, SAP HANA, SQL Server mit strenger Verschlüsselung, SMTPS, AMQPS und Kafka funktionieren auf diese Weise.
- postgres — PostgreSQL, das zunächst eine unverschlüsselte Verbindung herstellt und dann TLS aushandelt, bevor irgendetwas anderes gesagt wird.
Es gibt keine Option für Klartext und keine Ausnahme für reine Testzwecke. Eine Verbindung, die „nur zu Testzwecken“ verwendet wird, enthält echte Anmeldeinformationen, sobald sie kopiert wird; daher gilt die Regel, die im Produktivbetrieb gilt, überall.
TLS 1.2 oder höher, und immer verifiziert
- Jeder Handshake erfolgt über TLS 1.2 oder höher. Die niedrigste TLS-Version kann für eine Verbindung auf TLS 1.3 angehoben werden; ältere Versionen sind nicht verfügbar und werden von der Datenbank ebenfalls abgelehnt. Daher kann die TLS-Version auch nicht per Import oder Skript festgelegt werden.
- Das Serverzertifikat wird immer überprüft. Es gibt keine Option zum Deaktivieren der Überprüfung, da eine Verbindung, die jedes Zertifikat akzeptiert, für jeden Antwortenden verschlüsselt wird. Dies ist nicht dasselbe wie die Verschlüsselung für das von Ihnen gemeinte System.
- Der Servername wird benötigt, wenn das Zertifikat einen anderen Hostnamen als den angibt, mit dem Sie sich verbinden – beispielsweise, wenn Sie die Datenbank unter 10.20.0.15 erreichen und deren Zertifikat hana.corp.local lautet. Er dient sowohl dazu, das richtige Zertifikat anzufordern als auch zu überprüfen.
- Der festgelegte Fingerabdruck ist optional: der SHA-256-Fingerabdruck des Serverzertifikats. Ist er festgelegt, wird jedes andere Zertifikat abgelehnt, selbst ein gültiges. Denken Sie daran, ihn bei der Erneuerung des Serverzertifikats zu ändern.
Zertifikate
Im Bildschirm „Zertifikate“ im selben Integrationsbereich wird der Vertrauensstatus der Zertifikatsverbindungen angezeigt. Es gibt zwei Arten.
| Art | Wozu dient es? |
|---|---|
| Vertrauenswürdige Zertifizierungsstelle | Eine Zertifizierungsstelle, die von Ihrer Organisation betrieben wird. Ein Server in Ihrem Netzwerk verfügt üblicherweise über ein von Ihrer Zertifizierungsstelle ausgestelltes Zertifikat, das keiner öffentlichen Stammzertifizierungsstelle bekannt ist. Laden Sie die Zertifizierungsstelle hier hoch und wählen Sie sie als vertrauenswürdige Zertifizierungsstelle für die Verbindung aus. Wenn Sie dieses Feld leer lassen, vertraut die Verbindung den öffentlichen Stammzertifizierungsstellen. |
| Kundenzertifikat | Der von TRANXACT an den Server übermittelte Schlüssel dient der gegenseitigen TLS-Verschlüsselung – der Server prüft dabei sowohl den Anrufer als auch den Absender. Nach dem Hochladen verwenden Sie die Funktion „Privaten Schlüssel speichern“. Der Schlüssel muss zu diesem Zertifikat gehören, wird im Ruhezustand versiegelt und niemals wieder angezeigt; er kann lediglich ersetzt werden. |
Fügen Sie das Zertifikat im PEM-Format von -----BEGIN CERTIFICATE----- bis -----END CERTIFICATE----- ein; gegebenenfalls folgt eine Zertifikatskette. Sie müssen weder Betreff, Aussteller, Gültigkeitsdauer noch Fingerabdruck eingeben – diese Daten werden direkt aus dem Zertifikat ausgelesen. Die Liste zeigt daher keine Informationen an, die nicht im Zertifikat enthalten sind. Sie gibt die verbleibenden Tage an, kennzeichnet Zertifikate als ablaufend oder abgelaufen und zählt die Anzahl der Verbindungen, die das Zertifikat verwenden. So wissen Sie, was nicht mehr funktioniert, bevor es tatsächlich der Fall ist.
Prüfen
Der Verbindungstest führt einen echten, verifizierten TLS-Handshake zum Ziel durch – und bei HTTPS eine Anfrage – und prüft, ob ein Authentifizierungsobjekt vorhanden ist. Schlägt der Test fehl, wird der fehlerhafte Teil angezeigt, da die Fehlermeldung „Verbindung konnte nicht hergestellt werden“ keine weiteren Informationen zum Vorgehen liefert.
| Was sagt der Test? | Was zu tun |
|---|---|
| Das Serverzertifikat ist nicht vertrauenswürdig. | Laden Sie die ausstellende Zertifizierungsstelle unter „Zertifikate“ hoch und wählen Sie sie als vertrauenswürdige Zertifizierungsstelle für die Verbindung aus. |
| Das Zertifikat nennt diesen Host nicht. | Legen Sie den Servernamen auf den Namen fest, den das Zertifikat trägt. |
| Der Server bietet keine TLS-Verschlüsselung ab Version 1.2 an. | Der Server muss aktualisiert werden. TRANXACT wird nicht langsamer laufen. |
| Der Server benötigt ein Clientzertifikat. | Laden Sie ein Clientzertifikat hoch, speichern Sie dessen privaten Schlüssel und wählen Sie es bei der Verbindung aus. |
Können wir uns direkt verbinden?
Die Funktion „Direktverbindung prüfen“ beantwortet die zentrale Frage jeder Integration. Sie versucht, den Host über den konfigurierten Port sowie über die üblichen Ports zu erreichen – PostgreSQL 5432, SQL Server 1433, SAP HANA 30015, 30013 und 30041, SAP Business One Service Layer 50000, Oracle 1521 und 2484, MySQL 3306, LDAPS 636, Active Directory Global Catalog 3269, SMTPS 465, IMAPS 993, FTPS 990, AMQPS 5671, MQTTS 8883, Kafka 9093, 443 und 8443 – und zwar aus dem eigenen Netzwerk des TRANXACT-Servers. Anschließend meldet sie, welche Ports antworten UND einen TLS-1.2- oder höheren Handshake erfolgreich abschließen.
- Die Angabe „Eine direkte Verbindung ist möglich“, gefolgt von den Ports, Diensten und TLS-Versionen, die funktionierten, bedeutet, dass Sie die Verbindung heute auf „Direkt“ einstellen können.
- Andernfalls wird angezeigt, dass ein Netzwerkpfad benötigt wird – ein VPN, eine Verbindung oder ein Peering zu diesem Host – was eher eine Absprache mit dem Netzwerkbetreiber ist als eine Einstellung hier.
Die Verbindungsliste zeigt für jede Verbindung das Transportprotokoll, den Endpunkt, die zuletzt ausgehandelte TLS-Version und den Status „Direktverbindung“ an: möglich, nicht erreichbar oder nicht geprüft.
Cloud-Metadatenadressen werden niemals abgefragt. Sie geben die serverseitigen Zugangsdaten an alle Anfragenden weiter, weshalb ein Verbindungstest nicht als Methode zum Abfragen dieser Daten geeignet ist.