VPN-ээр дамжуулан MariaDB: сервер аль user@host-г хардаг вэ?
Бүртгэлийг хэрэглэгч ба хост хамт сонгоно. Серверийн харсан эх сурвалжийг олж, CURRENT_USER()-г уншаад, дараа нь тэр мөрийг засаарай, зөвшөөрлийг биш.
Нэг хэрэглэгчийн нэрийг хоёр өөр замаар оруулахад MariaDB таныг хоёр өөр бүртгэл гэж баталгаажуулж болно. Бүртгэлүүд хэрэглэгч ба хост хамт дээр түлхүүрлэгддэг тул 'reporter'@'localhost' ба 'reporter'@'10.90.0.23' нь тусдаа нууц үг, тусдаа зөвшөөрөл бүхий тусдаа мөрүүд юм. VPN-ээр дамжуулан сонирхолтой асуулт нь хэрэглэгч ямар нэр оруулсан биш, харин сервер ямар эх сурвалжийн хаягийг харсан нь юм.
Сервер үнэхээр хардаг эх сурвалжийг тодорхойлоорой
Өгөгдлийн сангийн хостоос ухраад ажилла, зөөврийн компьютерээс биш. Клиент өөртөө байна гэж боддог хаяг нь хэд хэдэн боломжийн зөвхөн нэг нь:
| Path | Source MariaDB sees |
|---|---|
| Routed tunnel, no translation | The client's inner VPN address |
| Gateway source translation | The gateway's translated address |
| SSH local forward | The SSH server's address |
| Public exit, no tunnel | Whatever the ISP handed out |
Шийдэхийн тулд серверийн талын нотолгоог ашигла. Холболтын бүртгэл, идэвхтэй сессийн жагсаалт эсвэл ерөнхий бүртгэл дэх түр бичлэг нь серверийн хүлээн зөвшөөрсөн хаягийг харуулна. Зөөврийн компьютерийн хөтөчөөс харагдах нийтийн IP нь өөр баримт бөгөөд ихэвчлэн төөрөгдүүлдэг.
MariaDB-ийн сонгосон бүртгэлтэй тааруулаарай
Бүртгэлийн сонголт нь зөвшөөрлүүдийн нэгдэл биш, баримтжуулсан дарааллыг дагадаг. Хостийн яг таарч байгаа нь орлуулагч тэмдэгтээс давуу бөгөөд аноним хэрэглэгчийн мөрүүд зөвхөн нэр шийднэ гэж үздэг хүмүүсийг гайхшруулсан байдлаар тааруулалтад оролцдог. Сервер нэг мөрийг сонгодог; энэ нь ижил нэртэй мөр бүрийн давуу эрхийг нэгтгэдэггүй. Лавлагааг нэг удаа унших нь хагас өдөр таамаглал туршихнаас илүү үнэтэй.
Энэ нь хэрэв сесс 'reporter'@'10.90.0.23' гэж баталгаажсан бол 'reporter'@'%'-д зөвшөөрөл нэмэх нь юу ч өөрчлөхгүй байж болно гэсэн үг. Залруулга нь сонгогдсон мөр дээр буух ёстой, иймээс бүртгэлийг тодорхойлох нь зөвшөөрөл засахаас өмнө ирдэг.
Сессийн үнэхээр ашиглаж буй бүртгэлийг уншаарай
SELECT USER(), CURRENT_USER();
SHOW GRANTS;CURRENT_USER() сессийг баталгаажуулсан бүртгэлийг нэрлэнэ; USER() клиентийн хүссэнийг мэдээлдэг бөгөөд өөр байж болно. Эдгээрийг энгийн дээд түвшний асуулга хэлбэрээр ажиллуул, тодорхойлогч контекст бүхий хадгалсан рутинаас биш, эс тэгвээс хариултууд таны сессийг биш рутины эзнийг дүрсэлнэ.
Амжилтгүй нэвтрэлт эдгээрийн алийг ч ажиллуулж чадахгүй бөгөөд энэ нь администратор бүртгэлийн тодорхойлолт, серверийн холболтын нотолгоог шалгах тохиолдол юм. Түүнд бэлдээрэй: татгалзсан нэвтрэлтийг дибаг хийж буй хүнд ихэвчлэн асуух SQL сесс байдаггүй.
Хүртээмжийг баталгаажуулалтаас тусгаарлаарай
Алдааны текст таныг ямар давхаргад байгааг хэлнэ. Татгалзсан холболт эсвэл хугацаа дуусах нь клиент хэзээ ч сонсогчдод хүрээгүй гэсэн үг тул бүртгэл ба түүний нууц үг хараахан асуудал болохгүй. Хандалт татгалзсан хариу нь сервер хариулсан гэсэн үг бөгөөд энэ нь хүртээмжийг нотолж, бүртгэл, хост тааруулалт эсвэл итгэмжлэлд заана.
Сүлжээний урьдчилсан нөхцөл нь өөрийн гэсэн жагсаалт: зөвхөн loopback-д биш, зорилтот хаягт холбогдсон сонсогч, тохируулсан порт руу зөвшөөрөгдсөн урсгал, хариултын буцах зам. Тус бүр бие даан бүтэлгүйтэж болох бөгөөд ажиллаж буй туннель тэдгээрийн алийг ч илэрхийлэхгүй. loopback дээрх сонсогч локал холболтыг хүлээн авч, алсын холболт бүрийг татгалздаг нь галт ханын блоктой төстэй татгалзсан холболт үүсгэдэг.
Сүлжээний багтай тасалбар нээхийн өмнө холболтын хаягийг шалгаарай. Өгөгдлийн сангийн хост дээрх ss -lntp аль хаяг, порт үнэхээр сонсож байгааг харуулж, тэр нэг мөр таамаглалын бүхэл ангиллыг үгүйсгэдэг.
Нарийн засаж, дараа нь хоёр чиглэлд дахин туршаарай
Зорилтот хост-мэргэшсэн бүртгэлийг байгууллагын батлагдсан процессоор үүсгэ, дэмжигдсэн агуулахаас итгэмжлэл авч, тасалбарт наасан хуваалцсан итгэмжлэлээр биш. Зөвхөн даалгаварт хэрэгтэй схем үйлдлүүдийг олго. Амжилтгүй алсын нэвтрэлтийг root бүртгэл, бүгдийг-олгох бодлого эсвэл ерөнхий орлуулагч хост болгох нь туршилтыг давж, таны туршиж байсан хяналтыг арилгадаг. Яаралтай нэмсэн зөвшөөрөл нь дараа нь хэн ч арилгадаггүй зөвшөөрөл юм.
Зорилтот замаар шинэ сесстэй дахин турш, дараа нь сөрөг тохиолдлуудыг шалга. Блоклогдох ёстой зам хэвээр блоклогдсон байх ёстой, олгогдоогүй үйлдэл хэвээр татгалзагдсан байх ёстой. Энэ хоёр шалгалт нь зассан бүртгэлийг өргөтгөсөн бүртгэлээс ялгадаг.
Эцэст нь ажигласан эх сурвалжийн хаяг ба бүртгэлийн нэрийг хамт бич. Туннель нь хүртээмжийг өгдөг; MariaDB өөрийн бүртгэлийг сонгож, зөвшөөрдөг хэвээр, дараагийн хүнд таны үр дүнг хуулбарлахад хоёр баримт хоёулаа хэрэгтэй.