VPN orqali MariaDB: server qaysi user@host ni ko'radi?
Hisob foydalanuvchi va xost birgalikda bo'yicha tanlanadi. Server ko'rgan manbani toping, CURRENT_USER() ni o'qing, so'ngra o'sha qatorni tuzating, ruxsatni emas.
Bir xil foydalanuvchi nomini ikki xil yo'ldan kiriting va MariaDB sizni ikki xil hisob sifatida autentifikatsiya qilishi mumkin. Hisoblar foydalanuvchi va xost birgalikda bo'yicha kalitlanadi, shuning uchun 'reporter'@'localhost' va 'reporter'@'10.90.0.23' alohida parollar va alohida ruxsatlarga ega alohida qatorlardir. VPN orqali qiziqarli savol foydalanuvchi qaysi nomni kiritgani emas, balki server qaysi manba manzilini ko'rgani.
Server haqiqatan ko'radigan manbani aniqlang
Noutbukdan emas, ma'lumotlar bazasi xostidan orqaga qarab ishlang. Mijoz o'zida bor deb hisoblagan manzil bir nechta imkoniyatlardan faqat bittasi:
| Path | Source MariaDB sees |
|---|---|
| Routed tunnel, no translation | The client's inner VPN address |
| Gateway source translation | The gateway's translated address |
| SSH local forward | The SSH server's address |
| Public exit, no tunnel | Whatever the ISP handed out |
Hal qilish uchun server tomonidagi dalillardan foydalaning. Ulanish jurnali, faol seanslar ro'yxati yoki umumiy jurnaldagi vaqtinchalik yozuv server qabul qilgan manzilni ko'rsatadi. Noutbukning brauzerdan ko'rinadigan ommaviy IP manzili boshqa fakt va ko'pincha chalg'ituvchi.
MariaDB tanlagan hisobni moslang
Hisob tanlash ruxsatlar birlashmasi emas, hujjatlashtirilgan tartibga amal qiladi. Xostning aniq mosligi joker belgisidan ustun, va anonim foydalanuvchi qatorlari faqat nom hal qiladi deb o'ylaydiganlarni hayratda qoldiradigan usullarda moslashuvda qatnashadi. Server bitta qatorni tanlaydi; u bir xil nomdagi har bir qatorning imtiyozlarini birlashtirmaydi. Ma'lumotnomani bir marta o'qish yarim kun taxmin sinashdan qimmatroq.
Bu degani, agar seans 'reporter'@'10.90.0.23' sifatida autentifikatsiya qilingan bo'lsa, 'reporter'@'%' ga ruxsat qo'shish hech narsani o'zgartirmasligi mumkin. Tuzatish tanlangan qatorga tushishi kerak, shuning uchun hisobni aniqlash ruxsatlarni tahrirlashdan oldin keladi.
Seans haqiqatan ishlatadigan hisobni o'qing
SELECT USER(), CURRENT_USER();
SHOW GRANTS;CURRENT_USER() seansni autentifikatsiya qilgan hisobni nomlaydi; USER() mijoz nima so'raganini xabar qiladi va farq qilishi mumkin. Ularni oddiy yuqori darajali so'rov sifatida bajaring, aniqlovchi kontekstga ega saqlangan rutina ichidan emas, aks holda javoblar sizning seansingiz o'rniga rutina egasini tasvirlaydi.
Muvaffaqiyatsiz kirish bularning hech birini bajara olmaydi va bu administrator hisob ta'riflari va serverning ulanish dalillarini tekshirishi kerak bo'lgan holat. Buni rejalashtiring: rad etilgan kirishni tuzatayotgan odamda odatda so'rash uchun SQL seansi bo'lmaydi.
Erish imkoniyatini autentifikatsiyadan ajrating
Xato matni qaysi qatlamda ekaningizni aytadi. Rad etilgan ulanish yoki vaqt tugashi mijoz hech qachon tinglovchiga yetib bormaganini bildiradi, shuning uchun hisob va uning paroli hali savol ostida emas. Kirish rad etildi javobi server javob berganini bildiradi, bu erish imkoniyatini isbotlaydi va hisob, xost mosligi yoki hisob ma'lumotlariga ishora qiladi.
Tarmoq shartlari o'z ro'yxatiga ega: faqat loopbackga emas, mo'ljallangan manzilga bog'langan tinglovchi, sozlangan portga ruxsat etilgan trafik va javob uchun qaytish yo'li. Har biri mustaqil ravishda muvaffaqiyatsiz bo'lishi mumkin va ishlaydigan tunnel ularning hech birini anglatmaydi. Loopbackdagi tinglovchi mahalliy ulanishlarni qabul qiladi va har bir masofaviy ulanishni rad etadi, bu esa xavfsizlik devori blokiga o'xshash rad etilgan ulanishni keltirib chiqaradi.
Tarmoq jamoasi bilan chipta ochishdan oldin bog'lanish manzilini tekshiring. Ma'lumotlar bazasi xostidagi ss -lntp qaysi manzil va port haqiqatan tinglayotganini ko'rsatadi va o'sha bitta qator taxminlarning butun toifasini istisno qiladi.
Tor doirada tuzating, so'ngra ikkala yo'nalishda qayta sinang
Mo'ljallangan xost bilan kvalifikatsiyalangan hisobni tashkilotning tasdiqlangan jarayoni orqali yarating, chiptaga yopishtirilgan umumiy hisob ma'lumotlari o'rniga qo'llab-quvvatlanadigan ombordan olingan ma'lumotlar bilan. Faqat vazifaga kerakli sxema operatsiyalarini bering. Muvaffaqiyatsiz masofaviy kirishni root hisobi, hammaga-ber siyosati yoki umumiy joker xostga aylantirish testni o'tkazadi va siz sinovdan o'tkazayotgan nazoratni olib tashlaydi. Shoshqaloqlik bilan qo'shilgan ruxsat keyinchalik hech kim olib tashlamaydigan ruxsatdir.
Mo'ljallangan yo'l orqali yangi seans bilan qayta sinang, so'ngra salbiy holatlarni tekshiring. Bloklanishi kerak bo'lgan yo'l bloklangan holda qolishi kerak, va berilmagan operatsiya rad etilgan holda qolishi kerak. Aynan shu ikki tekshiruv tuzatilgan hisobni kengaytirilganidan ajratadi.
Nihoyat, kuzatilgan manba manzili va hisob nomini birga yozib qo'ying. Tunnel erish imkoniyatini beradi; MariaDB baribir o'z hisobini tanlaydi va ruxsat beradi, va keyingi odam sizning natijangizni takrorlash uchun ikkala faktga muhtoj.