MariaDB iwwer VPN: wéi en user@host gesäit den Server?
De Kont gëtt vu Benotzer an Host zesumme gewielt. Fannt d'Quell, déi den Server gesinn huet, liest CURRENT_USER(), a reparéiert dann déi Zeil, net d'Berechtegung.
Gitt dee selwechte Benotzernumm iwwer zwee verschidde Weeër an, an MariaDB kann Iech als zwee verschidde Konten authentifizéieren. Konten si op Benotzer an Host zesumme geschlësselt, dofir sinn 'reporter'@'localhost' an 'reporter'@'10.90.0.23' getrennt Zeilen mat getrennte Passwierder a getrennte Berechtegungen. Iwwer eng VPN ass déi interessant Fro net, wéi en Numm de Benotzer aginn huet, mä wéi eng Quelladress den Server gesinn huet.
Bestëmmt d'Quell, déi den Server tatsächlech gesäit
Schafft réckwäerts vum Datebankhost, net vum Laptop. D'Adress, déi de Client mengt ze hunn, ass just eng vu méi Méiglechkeeten:
| Path | Source MariaDB sees |
|---|---|
| Routed tunnel, no translation | The client's inner VPN address |
| Gateway source translation | The gateway's translated address |
| SSH local forward | The SSH server's address |
| Public exit, no tunnel | Whatever the ISP handed out |
Benotzt Beweiser vun der Serversäit, fir et ze klären. E Verbindungsprotokoll, eng Lëscht vun aktive Sessiounen oder en temporären Andrag am allgemenge Protokoll weisen d'Adress, déi den Server akzeptéiert huet. D'ëffentlech IP vum Laptop aus engem Browser ass eng aner Tatsaach a dacks eng täuschend.
Passt de Kont un, deen MariaDB ausgewielt huet
D'Kontauswiel follegt enger dokumentéierter Reihenfolge an net enger Vereenegung vu Berechtegungen. Eng exakt Host-Iwwereneestëmmung huet Virrang virun engem Platzhalter, an Zeilen vum anonyme Benotzer huelen op Manéieren un der Iwwereneestëmmung deel, déi Leit iwwerrascht, déi unhuelen, datt just den Numm entscheet. Den Server wielt eng Zeil; hien fusionéiert net d'Privilegien vun all gläichnamlecher Zeil. D'Referenz eemol liesen ass méi wäert wéi en Nomëtteg voller Vermutungen.
Dat heescht, datt d'Bäifüge vun enger Berechtegung op 'reporter'@'%' näischt ännere kann, wann d'Sessioun sech als 'reporter'@'10.90.0.23' authentifizéiert huet. D'Korrektur muss op der Zeil landen, déi ausgewielt gouf, dofir kënnt d'Identifikatioun vum Kont virum Änneren vu Berechtegungen.
Liest de Kont, deen d'Sessioun tatsächlech benotzt
SELECT USER(), CURRENT_USER();
SHOW GRANTS;CURRENT_USER() nennt de Kont, deen d'Sessioun authentifizéiert huet; USER() mellt, wat de Client ugefrot huet, a kann ofwäichen. Féiert se als gewéinlech Uewerflächen-Ufroe aus, net aus enger gespäicherter Routine mat Definer-Kontext, soss beschreiwen d'Äntwerten de Besëtzer vun der Routine amplaz vun Ärer Sessioun.
Eng feelgeschloe Umeldung kann näischt dovun ausféieren, an dat ass de Fall, wou en Administrateur d'Kontdefinitiounen an d'Verbindungsbeweiser vum Server muss iwwerpréiwen. Plangt dat an: déi Persoun, déi eng ofgeleent Umeldung debuggt, huet normalerweis keng SQL-Sessioun fir ze froen.
Trennt d'Erreechbarkeet vun der Authentifikatioun
Den Feelertext seet Iech, a wéi enger Schicht Dir sidd. Eng ofgeleent Verbindung oder en Timeout bedeit, datt de Client ni en Écouteur erreecht huet, dofir sinn de Kont an säi Passwuert nach net a Fro. Eng Äntwert iwwer verweigerten Zougang bedeit, datt den Server geäntwert huet, wat d'Erreechbarkeet beweist an op de Kont, d'Host-Iwwereneestëmmung oder d'Authentifikatiounselement weist.
Netzwierkvirussetzungen sinn hir eege Lëscht: en Écouteur, deen un déi virgesinn Adress gebonnen ass an net just un loopback, erlaabten Trafik op de konfiguréierte Port an eng Réckwee fir d'Äntwert. Jiddwereen kann onofhängeg feelen, an en funktionéierende Tunnel bedeit keen dovun. En Écouteur op loopback akzeptéiert lokal Verbindungen a verweigert all entfernt, wat eng ofgeleent Verbindung produzéiert, déi wéi eng Firewallblockade ausgesäit.
Iwwerpréift d'Bind-Adress, ier Dir en Ticket beim Netzwierkteam opmaacht. ss -lntp um Datebankhost weist, wéi eng Adress a wéi e Port tatsächlech lauschteren, an déi eenzeg Linn schléisst eng ganz Kategorie vu Vermutungen aus.
Reparéiert enk, a testt dann béid Richtungen
Erstellt de virgesinne hostqualifizéierte Kont iwwer den approuvéierte Prozess vun der Organisatioun, mat engem Authentifikatiounselement aus dem ënnerstëtzte Späicher amplaz engem gedeelte, deen an en Ticket agekleeft gouf. Gitt just déi Schemaoperatiounen, déi d'Aufgab brauch. Eng feelgeschloe Fernumeldung an e Root-Kont, eng Alles-ginn-Politik oder en allgemengen Platzhalterhost ëmzewandelen, léisst den Test duerchgoen an entfernt d'Kontroll, déi Dir getest hutt. D'Berechtegung, déi Dir an der Eil bäigefüügt hutt, ass déi, déi spéider keen ewech hëlt.
Testt nach eng Kéier mat enger frëscher Sessioun iwwer de virgesinne Wee, a préift dann déi negativ Fäll. E Wee, dee soll blockéiert sinn, muss weiderhi blockéiert bleiwen, an eng Operatioun, déi net ginn ass, muss weiderhi verweigert bleiwen. Déi zwou Kontrollen ënnerscheeden e reparéierte Kont vun engem erweiderten.
Zum Schluss notéiert d'observéiert Quelladress an den Kontnumm zesummen. Den Tunnel liwwert d'Erreechbarkeet; MariaDB wielt a autoriséiert nach ëmmer säin eegene Kont, an déi nächst Persoun brauch béid Fakten, fir Äert Resultat ze reproduzéieren.