Безопасное подключение к другим системам
Подключения по HTTPS или напрямую к хосту и порту, минимальный уровень TLS 1.2, загружаемые вами сертификаты и тест, точно указывающий на причину сбоя.
В разделе «Платформа» → «Подключение» → «Интеграция» → «Подключения» находится коннектор, указывающий на одну реальную систему: вашу старую ERP-систему, каталог, почтовый сервер или API партнера. Он хранит информацию о местонахождении системы, способе подтверждения ее подлинности и учетных данных, которые TRANXACT ей предоставляет — зашифрованных при передаче и никогда не отображаемых обратно.
Два способа попасть в систему
| Транспорт | Что вы заполняете | Когда его использовать |
|---|---|---|
| HTTPS | URL конечной точки. Он должен начинаться с https:// — во всех средах, включая тестовую и среду разработки. | Веб-API или сервис, доступный через интернет или вашу собственную сеть. |
| Прямой | Хост (только имя или адрес), порт и протокол. | Доступ к базе данных, каталогу или служебному порту осуществляется по сетевому каналу, например, через VPN, межсоединение или пиринг. |
При прямом соединении задается имя протокола, поскольку системы запускают TLS двумя разными способами:
- TLS — протокол TLS с первого байта. LDAPS, SAP HANA, SQL Server со строгим шифрованием, SMTPS, AMQPS и Kafka работают таким образом.
- postgres — PostgreSQL, который устанавливает соединение в открытом виде на мгновение, а затем согласовывает TLS-протокол, прежде чем будет передано что-либо ещё.
Нет опции использования обычного текста и нет исключения только для тестирования. Соединение, используемое «только для тестирования», — это соединение, которое содержит реальные учетные данные в день его копирования, поэтому правило, действующее в рабочей среде, действует везде.
TLS 1.2 или выше, и всегда проверяется.
- Каждое рукопожатие выполняется с использованием TLS 1.2 или выше. Самая низкая версия TLS может повысить её до TLS 1.3 для соединения; более старые версии выбрать нельзя, и база данных их тоже отклоняет, поэтому их нельзя установить ни с помощью импорта, ни с помощью скрипта.
- Сертификат сервера всегда проверяется. Нет переключателя «не проверять», потому что соединение, принимающее любой сертификат, шифруется для того, кто ответит, а это не то же самое, что шифрование для системы, которую вы имели в виду.
- Имя сервера используется, когда сертификат указывает на другой хост, отличный от того, к которому вы подключаетесь — например, вы обращаетесь к базе данных по адресу 10.20.0.15, а в её сертификате указано hana.corp.local. Оно используется как для запроса правильного сертификата, так и для его проверки.
- Закрепленный отпечаток сертификата является необязательным: это отпечаток SHA-256 сертификата сервера. При его установке любой другой сертификат будет отклонен, даже действительный. Не забудьте изменить его при обновлении сертификата сервера.
Сертификаты
На экране «Сертификаты», в том же разделе «Интеграция», отображаются сертификаты, подтверждающие или подтверждающие наличие соединения. Существует два типа сертификатов.
| Добрый | Для чего это нужно |
|---|---|
| Доверенный центр сертификации | Центр сертификации, управляемый вашей собственной организацией. Сервер внутри вашей сети обычно имеет сертификат, выданный вашим центром сертификации, о котором не знает ни один публичный корневой центр; загрузите центр сертификации сюда и выберите его в качестве доверенного центра сертификации для подключения. Если это поле оставить пустым, подключение будет доверять публичным корневым центрам сертификации. |
| Сертификат клиента | Предъявленный TRANXACT на сервере для взаимного TLS-соединения — сервер проверяет, кто вызывает соединение, и наоборот. После загрузки используйте функцию «Сохранить закрытый ключ». Ключ должен принадлежать этому сертификату, хранится в запечатанном виде и никогда больше не показывается; его можно только заменить. |
Вставьте сертификат в формате PEM, начиная с -----BEGIN CERTIFICATE----- до -----END CERTIFICATE-----; за ним может следовать цепочка сертификатов. Вы не вводите субъект, издателя, срок действия или отпечаток — они считываются из самого сертификата, поэтому список не может содержать информацию, которой нет в самом сертификате. Список показывает оставшееся количество дней, помечает сертификат как истекающий или просроченный и подсчитывает количество подключений, использующих его, чтобы вы знали, что перестанет работать, прежде чем это произойдет.
Тест
Проверка соединения выполняет реальное, проверенное TLS-рукопожатие с указанной точкой — а для HTTPS — один запрос — и проверяет наличие аутентификатора. В случае неудачи указывается, какая именно часть соединения не удалась, поскольку сообщение "не удалось подключиться" ничего не говорит о дальнейших действиях.
| Что показывает тест? | Что делать |
|---|---|
| Сертификат сервера не является доверенным. | В разделе «Сертификаты» загрузите центр сертификации, выдавший сертификат, и выберите его в качестве доверенного центра сертификации для подключения. |
| В сертификате не указано имя этого хоста. | Укажите имя сервера равным имени, указанному в сертификате. |
| Сервер не предоставляет никаких услуг на уровне TLS 1.2 или выше. | Сервер необходимо модернизировать. TRANXACT не опустится ниже. |
| Сервер запрашивает клиентский сертификат. | Загрузите клиентский сертификат, сохраните его закрытый ключ и выберите его при подключении. |
Мы можем связаться напрямую?
Проверка прямого подключения отвечает на вопрос, с которого начинается любая интеграция. Она пытается подключиться к хосту через настроенный порт, а также через стандартные порты — PostgreSQL 5432, SQL Server 1433, SAP HANA 30015, 30013 и 30041, SAP Business One Service Layer 50000, Oracle 1521 и 2484, MySQL 3306, LDAPS 636, глобальный каталог Active Directory 3269, SMTPS 465, IMAPS 993, FTPS 990, AMQPS 5671, MQTTS 8883, Kafka 9093, 443 и 8443 — из собственной сети сервера TRANXACT, и сообщает, какие порты отвечают и завершают рукопожатие TLS 1.2 или выше.
- Сообщение "Возможно прямое соединение", за которым следуют порты, службы и версии TLS, которые работали, означает, что вы можете установить прямое соединение уже сегодня.
- В противном случае указывается, что необходим сетевой путь — VPN, межсетевое соединение или пиринг с этим хостом, — что представляет собой взаимодействие с тем, кто управляет сетью, а не настройку здесь.
В списке подключений отображается транспортный протокол каждого подключения, конечная точка, последняя согласованная версия TLS и параметр «Прямое подключение»: возможно, недоступно или не отмечено.
Адреса метаданных облачного сервиса никогда не проверяются. Они передают учетные данные сервера любому, кто их запрашивает, именно поэтому проверка соединения не должна использоваться для запроса.