ну, типо чтобы доступ к бд был по логину и паролю но не от % хоста, тобишь мог долбиться любой чел из интернета, а нужно ограничить чтоб можно только с этой машины было зайти
1. Аутентификация настраивается в SQL. 2. Межсетевой экран какой у тебя netfilter (в ядре Linux)?
iptables -vnt filter -L INPUT — вывод сюда. Там важно посмотреть политику.
Опишите что вы хотите сделать. Есть у вас контейнер с СУБД. Кто должен к нему подключаться? Внешний юзер? Другой контейнер?
Есть контейнер с субд, и есть контейнер с пхп. у субд есть свой хост, называется например mariadb Также в субдь прописано, что туда можно попасть только 1 юзеру, у него свой логин и пароль. также у него свой один хост для access. Вот туда если прописать % то тогда весь мир по сути сможет коннектиться к этой субд. если поставить localhost, то это просто не сработает. А вот если прописать айпи контейнера ПХП то уже работает. Вроде цель выполнена, защита есть. Однако если докеры запускать постоянно то айпи меняться будет) не менять же каждый раз юзеру тот самый access host на другой айпи
К контейнеру с СУБД будут осуществляться подключения не из контейнера с пхп?
Таким образом мы видим, что все входящие соединения у тебя принимаются, правил никаких нет. Можно поменять политику, iptables -vt filter -P INPUT DROP — после этого все входящие соединения, приниматься не будут. Нужно будет создать правила, например: iptables -vt filter -I INPUT -i 172.16.0.254 --protocol tcp --dport 80 -j ACCEPT — тут будет разрешено для 172.16.0.254 подключаться к TCP 80 (HTTP). Если сама машина должна ходить в сеть, то рекомендую сделать правило: iptables -vt filter -I INPUT -m conntrack --ctstate ESTABLISHED -j ACCEPT — оно разрешит уже установленным соединение проходить через межсетевой экран. Про netfilter и его управление iptables, можно узнать подробней из справки: iptables --help или мануала: man iptables.
@krutoicel Самое главное, не перекрыть себе вход!
Обсуждают сегодня