Dotaz: MySQL přístupná jen z několika málo IP

[Jan Zahornadsky]

Ahoj,

chtěl bych startovat mysqld tak, aby odpovídal jen na pokusy o připojení z několika málo vyjmenovaných IP adres. Zkoušel jsem nastavit v /etc/mysql/my.cnf nějak hodnotu bind-address, ale zdá se, že tam je možno vložit jedinou IP (přitom už dvě by mi asi stačily). Je možné tohoto démona nějak nastavit podle těchto požadavků?

Předem díky

Odpovědi

[Jan Zahornadsky]

Tak možná jsem o vyřešil (rozuměj: empirickými pokusy jsem dospěl k závěru, že se to pro omezenou množinu testovacích dat chová dle očekávání ). Ale nenastavoval jsem nijak démona, přímo jsem to nastavil pomoci zprávy práv. Každému uživateli (kromě asi roota) jsem dovolil se připojovat ze kterékoli adresy z toho seznamu a dal mu stejná práva, ať nezáleží, odkud se připojuje. A na závěr odstranil řádek bind-address z my.conf úplně.

Doufám, že jsem neudělal právě nějakou díru do systému, pokud jo, tak mě co nejhnusněji seřvěte

[Pavel Stárek]

Jojo, taky by to tak mělo jít.

[Michal]

Co to omezit i v /etc/hosts.allow ?

[Pavel Stárek]

Nevím jestli to umí mysql, ale jistě by to šlo udělat nějakým pravidlem v iptables. Bind-address znamená na jaké IP adrese bude poslouchat ten démon, ne kdo se může připojit.

[Filip Jirsák]

Bind address ja adresa, na které bude démon naslouchat - tj. je to IP adresa počítače (serveru) pro případ, že jich máte víc. To, co chcete, s tím nastavit nepůjde.

Omezení uděláte ale snadno na firewallu:

iptables -A INPUT -p tcp --dport 3306 -s a.b.c.d -j ACCEPT
iptables -A INPUT -p tcp --dport 3306 -s a.b.c.d2 -j ACCEPT
iptables -A INPUT -p tcp --dport 3306 -s a.b.c.d3 -j ACCEPT
iptables -A INPUT -p tcp --dport 3306 -j DROP
iptables -A OUPUT -p tcp --sport 3306 -m state --state ESTABLISHED -j ACCEPT

Pokud je protokol tcp, cílový port 3306 (MySQL, doufám ), zdrojová adresa a.b.c.d, paket propusť. To samé pro a.b.c.d2 a a.b.c.d3. V ostatních případech (tcp a port 3306) paket zahoď. Na výstupu povol pakety z portu 3306 jen pro již existující spojení.