MariaDB VPN bidez: zein user@host ikusten du zerbitzariak?
Kontua erabiltzailearen eta ostalariaren arabera aukeratzen da batera. Aurkitu zerbitzariak ikusi zuen iturria, irakurri CURRENT_USER() eta gero konpondu errenkada hori, baimena ez.
Idatzi erabiltzaile-izen bera bi bide ezberdinetatik eta MariaDBk bi kontu ezberdin gisa autentifikatu zaitzake. Kontuak erabiltzailearen eta ostalariaren arabera gakoztatzen dira batera, beraz 'reporter'@'localhost' eta 'reporter'@'10.90.0.23' errenkada bereiziak dira, pasahitz bereiziekin eta baimen bereiziekin. VPN baten bidez, galdera interesgarria ez da erabiltzaileak zein izen idatzi zuen, baizik eta zerbitzariak zein iturri-helbide ikusi zuen.
Zehaztu zerbitzariak benetan ikusten duen iturria
Lan egin atzerantz datu-basearen ostalaritik, ez eramangarritik. Bezeroak duela uste duen helbidea hainbat aukeretako bat besterik ez da:
| Path | Source MariaDB sees |
|---|---|
| Routed tunnel, no translation | The client's inner VPN address |
| Gateway source translation | The gateway's translated address |
| SSH local forward | The SSH server's address |
| Public exit, no tunnel | Whatever the ISP handed out |
Erabili zerbitzariaren aldetiko frogak erabakitzeko. Konexio-erregistro batek, saio aktiboen zerrenda batek edo erregistro orokorreko sarrera batek zerbitzariak onartu zuen helbidea erakusten du. Eramangarriaren IP publikoa nabigatzaile batetik beste gertaera bat da eta sarritan engainagarria.
Parekatu MariaDBk hautatu zuen kontua
Kontu-hautaketak dokumentatutako ordena jarraitzen du, ez baimenen batura. Ostalariaren bat-etortze zehatzak komodinaren gaineko lehentasuna du, eta erabiltzaile anonimoaren errenkadek bat-etortzean parte hartzen dute izenak bakarrik erabakitzen duela uste dutenak harritzen dituzten moduetan. Zerbitzariak errenkada bat hautatzen du; ez ditu izen bereko errenkada guztien pribilegioak bateratzen. Erreferentzia behin irakurtzea arratsalde oso bat asmakizunak probatzen baino gehiago balio du.
Horrek esan nahi du 'reporter'@'%'-ri baimen bat gehitzeak ezer alda dezakeela saioa 'reporter'@'10.90.0.23' gisa autentifikatu bada. Konponketak hautatu zen errenkadan amaitu behar du, horregatik kontua identifikatzea baimenak editatu aurretik dator.
Irakurri saioak benetan erabiltzen duen kontua
SELECT USER(), CURRENT_USER();
SHOW GRANTS;CURRENT_USER() saioa autentifikatu zuen kontuaren izena ematen du; USER() bezeroak zer eskatu zuen jakinarazten du eta ezberdina izan daiteke. Exekutatu hauek goi-mailako kontsulta arrunt gisa, ez definitzeko testuingurua duen errutina gordeta baten barrutik, bestela erantzunek errutinaren jabea deskribatzen dute zure saioa beharrean.
Huts egindako saio-hasierak ezin du hau horietako bat ere exekutatu, eta hori da administratzaileak kontu-definizioak eta zerbitzariaren konexio-frogak ikuskatu behar dituen kasua. Planifikatu horretarako: baztertutako saio-hasiera arazten duen pertsonak normalean ez du SQL saiorik kontsultatzeko.
Bereizi irisgarritasuna autentifikaziotik
Errorearen testuak esaten dizu zein geruzatan zauden. Baztertutako konexio batek edo denbora-muga batek esan nahi du bezeroak ez zuela inoiz entzulerik lortu, beraz kontua eta haren pasahitza oraindik ez daude zalantzan. Sarbidea ukatu izanaren erantzunak esan nahi du zerbitzariak erantzun zuela, eta horrek irisgarritasuna frogatzen du eta kontuari, ostalariaren bat-etortzeari edo kredentzialari seinalatzen dio.
Sare-aurrebaldintzak zerrenda propioak dira: helmuga-helbidera lotutako entzulea eta ez bakarrik loopback-era, konfiguratutako portura baimendutako trafikoa eta erantzunerako itzulera-bidea. Bakoitzak independenteki huts egin dezake, eta funtzionatzen duen tunel batek ez du horietako bat ere suposatzen. Loopbackeko entzule batek konexio lokalak onartzen ditu eta urruneko guztiak baztertzen ditu, suebaki-blokeo baten itxura duen baztertutako konexioa sortuz.
Egiaztatu lotze-helbidea sare-taldeari tiket bat ireki aurretik. Datu-basearen ostalarian ss -lntp erakusten du zein helbide eta portu dauden benetan entzuten, eta lerro bakar horrek asmakizunen kategoria oso bat baztertzen du.
Konpondu modu estuan, gero probatu bi noranzkoetan
Sortu aurreikusitako ostalari-kalifikatutako kontua erakundearen prozesu onartuaren bidez, onartutako biltegitik datorren kredentzialarekin eta tiket batean itsatsitako partekatu batekin ez. Eman zereginak behar dituen eskema-eragiketak soilik. Hutsegindako urruneko saio-hasiera root kontu, dena emateko politika edo komodin ostalari orokor bihurtzeak proba gainditzen du eta probatzen ari zinen kontrola kentzen du. Presaka gehitu zenuen baimena da inork geroago kentzen ez duena.
Probatu berriro saio berri batekin aurreikusitako bideetatik, gero egiaztatu kasu negatiboak. Blokeatuta egon beharko lukeen bide batek blokeatuta jarraitu behar du, eta eman ez zen eragiketa batek ukatuta jarraitu behar du. Bi egiaztapen horiek bereizten dute konpondutako kontu bat zabaldutako batetik.
Azkenik, erregistratu behaketarako iturri-helbidea eta kontuaren izena elkarrekin. Tunelak irisgarritasuna ematen du; MariaDBk oraindik bere kontua hautatzen eta baimetzen du, eta hurrengo pertsonak bi gertaerak behar ditu zure emaitza erreproduzitzeko.