Nastavení připojení k serveru

Nastavení připojení k serveru se v programu MRP-K/S zadává v dialogu Nastavení připojení k databázi, který se zobrazí v přihlašovacím okně po kliknutí na tlačítko Umístění serveru. S výjimkou situací, kdy klientská část běží na stejném počítači jako server (umístění serveru Na tomto počítači), probíhá komunikace mezi klientskou a serverovou částí systému MRP-K/S prostřednictvím TCP/IP protokolu. Pro realizaci spojení tedy v podstatě stačí zjistit a zadat IP adresu serveru. Nastavení připojení k serveru v lokálních sítích je relativně jednoduché, v případě vzdáleného připojení přes internet jej doporučujeme raději konzultovat s místním správcem sítě. Jako vodítko mohou sloužit následující odpovědi.

Jak zjistit IP adresu serveru?

IP Adresu počítače v rámci lokální sítě lze zjistit například v nastavení Windows (Nastavení - Síť a internet - Ethernet - Vlastnosti). Adresa serveru by měla být pevná, uvedená v poli Adresa IP, případně rezervovaná v DHCP nastavení routeru, aby po restartu serveru nedocházelo k její změně. Jiným způsobem, jak zjistit IP adresu počítače, je spustit konzolové okno a zadat do něj příkaz ipconfig.

Složitější je situace v případě připojení přes internet. Většina podnikových i domácích sítí je dnes již umístěna za zabezpečujícím zařízením - firewallem nebo routerem, které provádí překlad adres. IP adresa zjištěná v předchozím odstavci proto určuje jen adresu počítače v rámci místní sítě (zpravidla se jedná o adresy ve tvaru 192.168.x.x, nebo 10.x.x.x), zatímco v internetu počítač vystupuje pod jinou adresou, která je mu tímto zařízením přidělena. Adresu, pod kterou je počítač viditelný v internetu, zjistíte například přihlášením na stránku http://nastroje.lupa.cz/moje-ip-adresa/ nebo http://www.whatismyip.com. Reálná IP adresa je stanovena poskytovatelem internetu a často se jedná o adresu dynamicky přidělovanou, což znamená, že při každém připojení k internetu může být tato adresa jiná. To je samozřejmě pro komunikaci se serverem nepraktické, znamenalo by to po každé změně zjistit jeho novou adresu a zadat ji na všech počítačích, které se k serveru přes internet připojují. U řady poskytovatelů je navíc IP adresa sdílena mezi více uživateli s použitím dalšího překladu adres na zařízení poskytovatele, připojit se na ni z internetu pak není možné. Doporučujeme tedy domluvit se s poskytovatelem internetu na přidělení pevné veřejné IP adresy na serverové straně.

Jako nouzové řešení v případě dynamicky přidělované IP adresy serveru lze případně použít nějakou z aplikací realizujících virtuální privátní síť s využitím serveru třetí strany, například program Hamachi. Funguje tak, že se ze strany serveru i klienta vytvoří spojení k tomuto volně přístupnému serveru, který je pak "sváže" a přeposílá komunikaci mezi nimi. Nevýhodou takového řešení je kromě závislosti na serveru třetí strany také pomalá odezva programu, pokud je komunikace směřována přes tento třetí server.

Na jakém portu probíhá komunikace se serverem Firebird?

Server Firebird očekává připojení standardně na portu 3050 TCP/IP protokolu. Tento port lze v případě potřeby změnit, a to nejsnáze nastavením parametru RemoteServicePort v textovém konfiguračním souboru firebird.conf. Zde je potřeba odmazat znak komentáře # na začátku řádku, zadat zvolené číslo portu, soubor uložit a poté restartovat server Firebird, aby změny načetl.

Klientská strana se také standardně připojuje k portu 3050. Jestliže byl na serveru port změněn, je potřeba platné číslo portu uvést za IP adresou serveru oddělené znakem lomítka (/). V přihlašovacím dialogu programu MRP-K/S tedy můžete zadat název serveru například mujserver/3051, nebo 192.168.2.10/3051 a tím specifikovat připojení k portu č. 3051 serverového počítače.

Jak nastavit firewall nebo router, aby spojení neblokoval?

Cílem firewallu je ochránit počítač nebo vnitřní síť před útoky z internetu. Firewall ve výchozím stavu většinou zakazuje jakékoliv pokusy o příchozí připojení a povoluje pouze komunikaci iniciovanou z daného počítače nebo vnitřní sítě směrem ven. Aby bylo možné zvenku navázat spojení se serverem Firebird, je tedy potřeba firewall nastavit tak, aby umožnil připojení k portu, na kterém Firebird běží (výchozí je TCP port 3050, viz výše).

V případě komunikace v lokální síti bývá jedinou překážkou firewall na počítači serveru. Pokud se jedná o server běžící na Windows, které obsahují standardní firewall - bránu Windows, postará se o vytvoření výjimky přímo instalační program MRP-K/S, který při instalaci serverové části umožňuje zvolit zařazení procesu serveru firebird.exe (Firebird 3.0) nebo fbserver.exe (Firebird 2.5) do výjimek brány. Jestliže je na severu nainstalován jiný firewall, je potřeba příslušnou výjimku pro proces serveru nebo jeho TCP port přidat ručně.

V případě připojení přes internet bývá další firewall spojený s překladem adres přímo součástí zařízení oddělujícího vnitřní síť od internetu. I zde je tedy potřeba příchozí připojení povolit, respektive přesměrovat je na počítač serveru. Současné routery lze většinou konfigurovat prostřednictvím webového prohlížeče. Po zadání webové adresy routeru (zpravidla se jedná o adresu výchozí brány, kterou lze zjistit v konfiguraci IP protokolu nebo příkazem ipconfig) zařízení vygeneruje webovou stránku, na které lze provést jeho konfiguraci včetně výjimek firewallu a pravidel pro překlad adres. Přesměrování se obvykle provádí v konfigurační sekci nazvané NAT, Port Forwarding nebo Virtual Servers, do které je potřeba doplnit pravidlo, které příchozí připojení k TCP portu 3050 přesměruje na vnitřní IP adresu serverového počítače, opět na číslo portu 3050. Výchozí čísla portů je samozřejmě možné pro zvýšení bezpečnosti změnit, viz výše. Pokud se klientské stanice připojují ze známých IP adres, je v zájmu lepšího zabezpečení také vhodné spojení povolit jen pro tento rozsah externích IP adres.

Je možné pro připojení k serveru použít IPv6?

Novější verzi IP protokolu (IPv6) lze použít počínaje Firebirdem řady 3.0 (starší řady serveru umí jen IPv4). IPv6 adresa se do MRP-K/S zadává v obvyklé hexadecimální notaci, tedy například fe80::1ff:fe23:4567:890a . Pokud je potřeba na konci uvést i nestandardní číslo cílového TCP portu, odděluje se stejně jako u IPv4 lomítkem. Případná konfigurace routeru povolující TCP/IPv6 připojení z internetu na rozdíl od IPv4 obvykle již nezahrnuje překlad adres (NAT), příchozí připojení je jen potřeba povolit ve firewallu.

Jak ochránit komunikaci před útoky nebo odsposloucháváním?

Komunikace mezi serverovou a klientskou částí systému Firebird 2.5 je vedena víceméně v otevřeném tvaru. Hrozí tedy riziko, že data mohou být přečtena, zachycena nebo podvržena na cestě internetem. Pro lepší zabezpečení dat a pro zabránění útokům na serverový počítač je možné využít aplikací, které vytvářejí mezi počítači šifrovaný tunel nebo přímo virtuální privátní síť a brání připojení neautorizovaných počítačů. Z volně šiřitelných programů doporučujeme například program OpenVPN. Vstupní firewall serverové sítě pak samozřejmě místo portu serveru Firebird musí povolovat číslo portu, které tato aplikace využívá.

Poznámka: Novější řada serveru Firebird 3.0 již síťovou komunikaci šifruje. Použití VPN přesto stále může být užitečné pro větší ochranu serverové sítě před připojením neautorizovaných počítačů.

Co dělat, když jsou odezvy programu při připojení přes internet příliš dlouhé?

Klientská a serverová část systému Firebird spolu komunikují formou velkého množství krátkých paketů. Odezvy pak závisí zejména na rychlosti linky, připojení přes internet tedy nevyhnutelně vykazuje podstatně delší odezvy než práce v lokální síti, a to i při dostatečné kapacitě internetového připojení. Pro rámcové srovnání rychlosti různých připojení k internetu lze použít běžný konzolový příkaz ping, který měří odezvu linky k serveru. Pro otestování chování linky při přenášení delších paketů lze využít formát s větší kapacitou vyrovnávací paměti - parametrem l, např. ping serverip -l 1000. Přímo v programu MRP-K/S je pak v modulu Údržba pod tlačítkem Údržba dat k dispozici Test připojení, který měří rychlost základních operací a lze jej také využít k porovnání rychlosti připojení po různých linkách.

Co se týká kapacity linky, při běžné práci v systému MRP-K/S směřuje větší objem dat směrem ze serveru na klienta než směrem obráceným. Serverová část sítě by tedy měla být připojena k internetu s větší kapacitou ve směru ven (upload), klientská spíš ve směru dovnitř (download).

Jestliže jsou odezvy programu stále pomalé, je možné využít připojení prostřednictvím terminálových služeb, tj. aplikace Vzdálená plocha. Srovnání a popis tohoto způsobu připojení je na následujícím odkazu:

https://www.mrp.cz/otazky-a-odpovedi/system-firebird/mrp-k-s-a-pripojeni-vzdalenych-pocitacu