Шифрование трафика¶

Пререквизиты¶

Для выполнения примера требуются:

• установленные Docker-образы Tarantool DB, Prometheus и Grafana;

• приложение Docker Compose;

• утилита tt CLI;

• Go версии 1.13 или выше;

• python3;

• файлы сертификатов. Чтобы сгенерировать их, выполните команду certs/gen.sh;

• исходные файлы примера traffic_encryption.

  Примечание

  Есть два способа получить исходные файлы примера:

  • Архив с полной документацией Tarantool DB, полученный по почте или скачанный в личном кабинете tarantool.io. Пример архива: tarantooldb-documentation-3.0.0.tar.gz. Пример traffic_encryption расположен в таком архиве в директории ./doc/examples/traffic_encryption/.

  • Отдельный архив traffic_encryption.tar.gz, скачанный c сайта Tarantool.

Используемые файлы¶

Для запуска и настройки кластера используются файлы из папки traffic_encryption:

• certs/

  • gen.sh – скрипт генерации локального набора сертификатов;

• cluster/ – директория c файлами для запуска кластера Tarantool DB:

  • migrations/scenario – директория, содержащая файлы с описанием миграций;

  • config.yml – конфигурация и топология кластера;

  • docker-compose.yml – описание узлов кластера Tarantool DB;

• go/ – директория с файлами для создания подключения через Go-коннектор;

• python/ – директория с файлами для создания подключения через Python-коннектор;

• tools/ – директория с файлами для запуска кластера etcd и средств мониторинга:

  • grafana/ – директория, содержащая настройки для ведения мониторинга;

  • prometheus/ – директория, содержащая настройки Prometheus для сбора и передачи метрик в Grafana;

  • docker-compose.yml – описание узлов кластера etcd и средств мониторинга;

  • tcm.yml – конфигурация для запуска Tarantool Cluster Manager.

Запуск стенда¶

Для успешного запуска должны быть свободны следующие порты:

• 2379

• 3000

• 3301–3303

• 8081

• 9090

Перейдите в папку с примером traffic_encryption и запустите стенд:

cd ./doc/examples/traffic_encryption/
make start

Команда развернет стенд, состоящий из:

• кластера Tarantool DB:

  • 1 роутер;

  • 1 набор реплик на 2 хранилища;

  • 1 Tarantool Cluster Manager (TCM);

• кластера etcd из 3 узлов;

• клиентских приложений для проверки подключения;

• средств мониторинга – Prometheus, Grafana.

После запуска должны работать все контейнеры, кроме init_host.

Также после запуска кластера доступны следующие пользовательские интерфейсы:

• https://localhost:8081 – защищённый веб-интерфейс TCM;

• http://localhost:3000 – веб-интерфейс Grafana.

Для входа в TCM откройте в браузере адрес https://localhost:8081 (браузер может предупредить о самоподписанном сертификате).

Логин и пароль для входа:

• Username: admin

• Password: secret

Настройка SSL-шифрования¶

Для работы с SSL в Tarantool DB используются SSL-сертификаты. Экземпляры Tarantool DB используют сертификат сервера для взаимодействия друг с другом и клиентскими соединениями. При этом внешние компоненты, подключающиеся к Tarantool DB (например, утилита tt CLI или веб-интерфейс TCM), используют клиентские сертификаты, чтобы пройти аутентификацию.

Скрипт ./certs/gen.sh генерирует все необходимые сертификаты с использованием единого корневого центра сертификации (CA):

• для Tarantool DB – серверные и клиентские сертификаты, а также сертификат для HTTPS-сервера экспорта метрик;

• для etcd – серверные и клиентские сертификаты, а также сертификат для peer-взаимодействия узлов в кластере etcd;

• для TCM – серверный сертификат для HTTPS.

В разделах ниже описано, как настраивается шифрование для каждого из этих компонентов.

etcd1:
  <<: *etcd-base
  command: >
    etcd --name etcd1
    --data-dir /etcd-data
    --listen-client-urls https://0.0.0.0:2379
    --advertise-client-urls https://etcd1:2379
    --listen-peer-urls https://0.0.0.0:2380
    --initial-advertise-peer-urls https://etcd1:2380
    --initial-cluster etcd1=https://etcd1:2380,etcd2=https://etcd2:2380,etcd3=https://etcd3:2380
    --initial-cluster-token my-etcd-cluster
    --initial-cluster-state new
    --client-cert-auth
    --trusted-ca-file /certs/ca/root-ca.pem
    --cert-file /certs/etcd/server.pem
    --key-file /certs/etcd/server-key.pem
    --peer-client-cert-auth
    --peer-trusted-ca-file /certs/ca/root-ca.pem
    --peer-cert-file /certs/etcd/peer.pem
    --peer-key-file /certs/etcd/peer-key.pem
  ports:
    - "2379:2379"

params: &ssl_params
  transport: 'ssl'
  ssl_ca_file: '/certs/ca/root-ca.pem'
  ssl_cert_file: '/certs/tarantool/server.pem'
  ssl_key_file: '/certs/tarantool/server-key.pem'

params:
  ssl_ciphers: 'ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES128-GCM-SHA256'

TT_CONFIG_ETCD_ENDPOINTS: https://etcd1:2379,https://etcd2:2379,https://etcd3:2379
TT_CONFIG_ETCD_PREFIX: /tdb
TT_CONFIG_ETCD_HTTP_REQUEST_TIMEOUT: 3
TT_CONFIG_ETCD_SSL_CA_FILE: /certs/ca/root-ca.pem
TT_CONFIG_ETCD_SSL_SSL_CERT: /certs/etcd/client.pem
TT_CONFIG_ETCD_SSL_SSL_KEY: /certs/etcd/client-key.pem

roles_cfg:
  roles.metrics-export:
    http:
    - listen: 8081
      ssl_cert_file: /certs/tarantool/metrics.pem
      ssl_key_file: /certs/tarantool/metrics-key.pem
      endpoints:
      - format: prometheus
        path: /metrics

http:
    host: 0.0.0.0
    port: 8081
    tls:
      enabled: true
      cert-file: /certs/tcm/server.pem
      key-file: /certs/tcm/server-key.pem

http:
  tls:
    cipher-suites:
    - TLS_AES_256_GCM_SHA384
    - TLS_AES_128_GCM_SHA256
    - TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384
    - TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256
    - TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
    - TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
    - TLS_DHE_RSA_WITH_AES_256_GCM_SHA384
    - TLS_DHE_RSA_WITH_AES_128_GCM_SHA256

storage:
  provider: etcd
  etcd:
      prefix: /tcm
      endpoints:
          - https://etcd1:2379
          - https://etcd2:2379
          - https://etcd3:2379
      tls:
        enabled: true
        trusted-ca-file: /certs/ca/root-ca.pem
        cert-file: /certs/etcd/client.pem
        key-file: /certs/etcd/client-key.pem

storage-connection:
  provider: etcd
  etcd-connection:
    prefix: /tdb
    endpoints:
      - https://etcd1:2379
      - https://etcd2:2379
      - https://etcd3:2379
    tls:
      enabled: true
      trusted-ca-file: /certs/ca/root-ca.pem
      cert-file: /certs/etcd/client.pem
      key-file: /certs/etcd/client-key.pem

tarantool-connection:
  username: "admin"
  password: "secret-cluster-cookie"
  ssl:
    enabled: true
    ca-file: /certs/ca/root-ca.pem
    cert-file: /certs/tarantool/client.pem
    key-file: /certs/tarantool/client-key.pem

Подключение через tt CLI¶

Попробуйте подключиться к экземпляру, используя команду tt connect:

tt connect admin:secret-cluster-cookie@localhost:3301

Ответ будет выглядеть так:

• Connecting to the instance...
⨯ failed to run interactive console: failed to create new console: failed to connect: failed to get protocol: failed to read Tarantool greeting: read tcp 127.0.0.1:50634->127.0.0.1:3301: i/o timeout

Подключитесь к узлу снова, используя клиентские сертификаты:

tt connect admin:secret-cluster-cookie@localhost:3301 \
  --sslkeyfile ./certs/tarantool/client-key.pem \
  --sslcertfile ./certs/tarantool/client.pem

При успешном подключении ответ будет выглядеть так:

   • Connecting to the instance...
   • Connected to localhost:3301

localhost:3301>

Для примера можно получить имя экземпляра:

box.info.name

Подключение через Go-коннектор¶

В этом разделе описано подключение к экземпляру Tarantool DB через Go-коннектор. Пример расположен в директории ./go/ примера traffic_encryption.

Для запуска выполните команду make go.

Go-клиент подключится к узлу через коннектор и запросит текущую версию платформы Tarantool. Ответ может выглядеть так:

Tarantool 3.4.1 (Binary) 28274879-0539-4c12-a225-57ef4d1736cb

Код подключения выглядит так:

dialer := tarantool.OpenSslDialer{
	Address:     "tarantool-router-msk:3301",
	User:        "admin",
	Password:    "secret-cluster-cookie",
	SslKeyFile:  "./certs/tarantool/client-key.pem",
	SslCertFile: "./certs/tarantool/client.pem",
	SslCaFile:   "./certs/ca/root-ca.pem",
	SslPassword: "54321",
}

opts := tarantool.Opts{}

conn, err := tarantool.Connect(ctx, dialer, opts)
if err != nil {
	fmt.Println(err)
	return
}

Опции здесь аналогичны опциям, которые передавались для tt.

Подключение через Python-коннектор¶

В разделе описано подключение к экземпляру Tarantool DB через Python-коннектор. Пример расположен в директории ./python/ примера traffic_encryption.

Для запуска примера выполните команду make python.

Результат может выглядеть так:

- '3.4.1-0-g096322fad'

Код подключения выглядит так:

con = tarantool.Connection(
    'tarantool-router-msk',
    3301,
    user="admin",
    password="secret-cluster-cookie",
    transport='ssl',
    ssl_key_file='certs/tarantool/client-key.pem',
    ssl_cert_file='certs/tarantool/client.pem',
    ssl_ca_file='certs/ca/root-ca.pem',
    ssl_password='54321',
    connection_timeout=0.5,
    socket_timeout=0.5,
)

Подключение через коннектор net.box¶

Tarantool позволяет создавать пользовательские соединения с помощью модуля net.box. Чтобы показать, как работает этот модуль по SSL, вместе с миграциями определена функция get_name_by_uri. Функция создаёт соединение с экземпляром кластера и получает его имя:

box.schema.func.call('get_name_by_uri', 'admin:secret-cluster-cookie@tarantool-storage-1-spb:3301')

Функция возвращает имя экземпляра: storage-1-spb.

Отправлять команды можно также через веб-интерфейс TCM. Для этого откройте в TCM вкладку Stateboard и выберите в наборе реплик router-msk узел router-msk. В открывшемся окне перейдите на вкладку Terminal (TT Connect).

Остановка стенда¶

Остановить стенд можно так:

make stop