Udaljena konekcija na MySQL

Da li je (i ako je kako) moguće povezati se sa MySQL bazom koja je na udaljenom serveru sa lokalne mašine?
Primjera radi: uzeo sam web hosting negdje u Njemačkoj, i tamo imam pristup preko weba preko PhpMyAdmin-a MySQL bazi i tamo mi stoje neki podaci. Kreirao sam korisnika, passworde...to je sve OK. E sad, ja bih trebao preko računara koji je kod mene (povezan sa ADSL-om na net) da pristupam podacima koji se nalaze u MySQL bazi na serveru, "tamo nedje po Njemačkoj".

Skinuo sam MyODBC driver, ali sa njim ne mogu da pristupim jer je port 3306 na serveru zatvoren.
Ne odgovara mi kopiranje baze svakih nekoliko sati, jer podaci iz baze se mogu mijenjati i preko interneta(kada korisnik dodje na sajt) i preko lokalne mašine koja je kod mene. U svakom slučaju, moram da imam trenutno stanje zbog izmjena koje ne mogu da predvidim kada će se desiti.

Na lokalnoj mašini koristim win2000, ali to je sad najmanje bitno!

Postaviš mysql server da sluša na određenom portu i propustiš taj port na firewall-u samo sa destinacije koje treba da imaju pristup i butu mysql klijenti.

Ne vidim tačno šta je u celoj priči problem ili nejasnoća?

Veb hosting paketi obično ne podrazumevaju direktan pristup bazi spolja.

Jedno moguće rešenje ti je da napraviš veb servis kao interfejs ka bazi i iz svoje lokalne aplikacije komuniciraš sa tim veb servisom, ili nađeš hosting koji omogućava direktan pristup bazi.

Pa ne mogu ja da administriram MySQL server!


to sam i ja mislio, samo kako da "uzmem" podatke, na lokalnoj mašini ih ne koristim kroz web browser, nego kroz moju aplikaciju.

Gdje ih ima i hoće li onda biti sigurni podaci? (Svaki haker početnik će mi mijenjati podatke iz baze!)

Pročitaj malo o veb servisima.
http://en.wikipedia.org/wiki/Web_services

Ne znam gde ih ima, raspitaj se na forumu hosting. Što se sigurnosti tiče, valjda postoji neki vid autentifikacije, moguće i da se konekcija provuče kroz SSL kanal.

Recimo samo, da ovo niko (ozbiljan) ne primenjuje, da otvara bazu ka svetu bez ozbiljnih restrikcija...

Webservisi su jedina druga opcija...

Poz,
Sale

Potpis

=========
Uporedi cene i karakteristike za vise od 10.000 proizvoda, izmedju ostalog:
Digitalni foto-aparati
Mobilni telefoni
Skolski pribor
=========

Za konekciju sa lokalnog racunara na udaljeni MySQL ja koristim Navicat. Radi savrseno.

Potpis

<sub>Never argue with an idiot. They
will drag you down to their level, then
beat you with
experience.

Milan
Petrovic | Blog</sub>

Mislis potpuno otvaranje user@* ili prema nekom spoljnom fixnom IPu?
Ja sve svoje baze na hosting serverima iskopiram sa svog servera preko udaljene konekcije. Do sad nisam imao problema.

Potpis

:: Nemoj se svadjati sa budalom, ljudi cesto nece primjetiti razliku ::

Pazi, ako je jedini korisnik na bazi, pa i da se otvori prema jednoj IP adresi. Ali ako na serveru ima 400 sajtova, svaki sa po 5 user-a na bazi... Ko ce da odrzava 2.000 razlicitih IP adresa?! :)
Po meni - neozbiljno, pogotovo sto postoje i drugi, sigurniji nacini za to ;)

Poz,
Sale

PS. ni kod kuce, ni na dedi serveru mi nije otvoren mysql, cak stavise, radi samo kao localhost ;)

Potpis

=========
Uporedi cene i karakteristike za vise od 10.000 proizvoda, izmedju ostalog:
Digitalni foto-aparati
Mobilni telefoni
Skolski pribor
=========

Kako 'ko'? Pa svako za sebe.
Ne vidim cemu tolika paranoja. Naravno, da je SVE moguce uhakovati, ali najsigurniji je server koji je zatvoren u sefu, bez ikakvog mreznog kabla.
Mnogi provajderi ukljucuju i SAFE_PHP cisto da bi zastitili svoje 'servere' od ljenosti, pa korisnici poprilicno nastradaju.
Ja imam kucni linux server, kojem pristupam sa par racunara iz lokalne mreze i ubiti mrezni nacin konektovanja na server (koji je osim toga projektovan za rad u mrezi) je bash brutalno. :)

U svakom slucaju ne mozes reci 'neozbiljno je'.

Potpis

:: Nemoj se svadjati sa budalom, ljudi cesto nece primjetiti razliku ::

valjda ISP mora da podesi 2.000 naloga da svako od korisnika samo sa svoje IP adrese pristupa... i sta ce oni jadnici na 56k, kojima se menja adresa? Ili ISP da otvori prema celom svetu? :)

pazi, nije ovde bilo price o serveru u lokalu, vec preko neta sto svakako predstavlja poprilican rizik... mnogo njih zaboravi da stavi pass na root-a (default instalacija), pa ako otvori server, eto nama radosti :)

Ja iskreno, jos nisam cuo za provajdera koji ima otvoren server ka svetu... Kod kuce imam samo jednu server masinu, phpmyadmin na njoj pa i nemam potrebe da joj pristupam sa drugih racunara direktno... Na poslu je standardno da druge masine u mrezi imaju direktan pristup, ali pod strogo definisanim nalozima...

Poz,
Sale

Potpis

=========
Uporedi cene i karakteristike za vise od 10.000 proizvoda, izmedju ostalog:
Digitalni foto-aparati
Mobilni telefoni
Skolski pribor
=========

Onda si slabo informisan, tako se to radlo prije 5 godina. A onda su izmisljeni razni alati poput Webmin-a, ControlPanel-a, DirectAdmin-a i slicnih kojima mozes upravljati sa svojim serverom ili hosting paketom pa cak i korisnicima dozvoliti odredjene promjene unutar servisa koje je zakupio.
Imam nekoliko naloga kod razlicitih hosting provajdera, u CP-u definishem odakle i na koji nacin mogu da pristupam bazi podataka. Sva prava definisem JA, a ne support, tako da nema price o odrzavanju, unosenju i slicno. To se radi tamo gdje su admini lijeni da instaliraju bilo kakav SW da korisnicima olaksaju zivot, vec za svaku glupost moraju da zovu i pishu supportu i da cekaju par sati/dana na odgovor i reakciju.
U CP imam mogucnost i da definisem prava pristupa poput '%' i da je otvorim prema cijelom svijetu, ali to je naravno ludost, medjutim nije mi zabranjeno. Valjda oni znaju zasto su to tako napravili.

Otkud ti to da je on sam instalirao taj mySQL server na SVOJ server? Napisao je da je rijec o web-hostingu, znaci da nije vlasnik masine, nema rijeci o root accessu i slicno.
Daleko mi je lakse minorne stvari na bazi srediti preko MySQL-Front-a nego preko web browsera ili konzole na serveru recimo.

Potpis

:: Nemoj se svadjati sa budalom, ljudi cesto nece primjetiti razliku ::

Priznajem nisam znao za mogucnosti da preko web alata korisnik ima pravo da ceo server (koji ne koristi samo on) otvori prema svetu, time ugrozavajuci sve korisnike iste baze :(
Da ne pricam napamet, raspitacu se kako i sta (cisto jer me zanima), ali ako je kao sto kazes, ne bi voleo da imam sajt na takvom hostingu... Zanima me, kako sprecavaju to na firewall-u? Naravno kada je u pitanju shared hosting... To bi onda znacilo da je mysql po default-u otvoren prema svetu? Sto opet, znaci da ja uzmem za 10 evra takav jedan hosting, sa recimo 50 mysql naloga, a zatim ih prodajem po 2 evra komad mesecno, posto im svako moze pristupati...?
Iskreno - ne verujem da je bash tako, ali jos jednom - ne znam, raspitacu se.

Nisam ni rekao da je on sam instalirao, vec da je default instalacija mysql servera takva da root nema pass...

Poz,
Sale

Potpis

=========
Uporedi cene i karakteristike za vise od 10.000 proizvoda, izmedju ostalog:
Digitalni foto-aparati
Mobilni telefoni
Skolski pribor
=========

Malo sam procunjao netom i dosao do sledeceg zakljucka: i dalje bi bezao glavom bez obzira od ISP-a koji nudi full remote pristup bazi.

Ako je, kao sto kazes (i kao sto ja nikada nisam sa time radio pa ne znam), da je dovoljno da u cPanelu dozvolis pristup odredjenom useru, sa odredjenog hosta, identifikovanim odredjenom sifrom, onda to po meni znaci da je taj mysql server na kojem si _potpuno_ otvoren za _sve_ ip adrese? Sem, ako cPanel ne podesava automatski i iptables, acl's itd...? To znaci, da je server instaliran i otvoren svima i za sve.
Odnosno, kada bi ja znao ip adresu servera i telnet-ovao na 3389, mysql bi mi se kulturno javio iako ti nisi dozvolio pristup (ali niko nije ni zabranio)? Da sam script kiddie, verovatno bi pokusao neki (neuspeli) brute force, a mozda bi me i usrecilo, pa bi i upao kao root.

Ako sam malkice bolji hacker, onda bi stavio neki sniffer pred mysql i cekao da se ti od kuce prikacis. Dobio bi, u cistom plain text formatu user, host i ime baze. Sifru bi morao da propustim kroz neki dekripter. Zatim bi, teoretski, mogao da sacekam da ti zaspis, a onda ti obrisem bazu. Ti ujutru, vratis backup i za svaki slucaj promenis sifru, koju ja nakon 3 sata takodje znam, dok 'razbijem' novu sifru. A onda te opet pustim, da na miru legnes, do ujutru...

Dakle, hvala - ali ne hvala. PHPMyAdmin i sigurna baza su mi preci nego (utoliko) komfor da od kuce mogu da manipulisem bazom ;)

Sva prava na greske zadrzana - a gde sam pogresio ispravi me. Ne zameri na umerenoj dozi cinizma - to je jednostavno moj stil. Nije nista protiv tebe licno upuceno. Ovde smo da ucimo i pomazemo jedni druge ;-)

edit: postoji naravno i ssl / ssh tunnel varijanta, ali koliko ISP-ova pravi public / private keys? A koliko korisnika zna te iste i da koristi?! :)

Poz,
Sale

Potpis

=========
Uporedi cene i karakteristike za vise od 10.000 proizvoda, izmedju ostalog:
Digitalni foto-aparati
Mobilni telefoni
Skolski pribor
=========

Naravno da nije rijec o licnom obracunu, baratamo argumentima i kulturno diskutujemo.

Port od baze (ne znam otkud ti taj 3389) je po defaultu otvoren za spoljne konekcije. Svaki korisnik je identifikovan sa user/pass/ip kombinacijom.
Naravno, ukoliko dozvolis '%' sve konekcije onda se ta identifikacija svodi na user/pass.

Sad da objasnim kako ta tvoja 2 nacina ne bi uspjela.

1. Mislis da bi svaki normalan administrator stavio access na mySQL bazu za account root, root@'%' ??? Zasto? Ima li smisla? Ionako se sve administratorske duznosti obavljaju direkt na serveru ili eventualno sa nekog drugog compa u mrezi. Znaci tvoj 7dnevni brute force attack bi 100% zavrsio bezuspjesno jer i da 'pogodis' root sifru, sa tvog IPa NISU dozvoljene konekcije (mislim na uspjele login konekcije).

2. Da, mogao bi da usnifas, buduci da promet nije kriptovan, ali gdje bi ti postavio sniffera? Cinjenica da bi mogao da usnifas promet izmedju dvije TCP tacke moras biti 'izmedju'. U hostingov NOC nemas pristup, i da ga imas morao bi imati pristup na ruter ili na isti server. Ako ga imas na serveru, chak i da imas obicnog usera, ne mozes snifati mrezni interfejs bez root naloga. Ako ga imas ... a cemu onda potreba za provaljivanje na bazu, kad imas direktan pristup fajlovima. Ako nemas pristup u NOC onda bi morao da imas pristup na access server/router na koji se ja kacim... Opet, kako to mislis da izvedes? Ako si u stanju da uhakujes citav server ili router i dobijes admin privilegije, onda nemas potrebe da gubis vrijeme sa snifanjem mySQL konekcija.
Takodje, postoji sigurno 10-20 usputnih tacaka (razni ruteri, drugi mrezni uredjaji i veze) gdje bi mogao da snifas promet, ali i to je tesko izvodljivo iz 2 razloga. Nikako ne mozes biti siguran da ce moj paket da prodje tom tackom (ukoliko nije jedinstveno cvoriste, a danas je takvih malo, svi imaju duple, troduple linkove), a drugo tu je rijec o mega i mega prometa po sekundi, obicnim sniferom bi dobijao tone smeca a ti bi trebao da izaberes moj paket logovanja :).

Jos jedan detalj, mogu ti dati slobodno IP mog provajdera, otvoriti pristup za '%' (sve IP) a ti ni nakon mjesec dana brute-force napada neces uspjeti provaliti sifru jer su obicno username-ovi slozeni od recimo 'hostingaccount_izabranoime' i nigdje username nije kraci od 10 karaktera, a bude i do 20. To se radi da ne bi doslo do problema da 2 korisnika zele isti username i lakse organizacije. Znaci tesko mozes da brute-force metodom bilo sta provalis. Ako vec skines moj config.php sa sajta (ili neki drugi, gdje se nalazi user i pass), najlakse ti je kupiti domen na istom serveru, fino se ulogovati i bez tcp konekcije na mySQL i uraditi sta hoces. Ali tad ovo o cemu pricamo nema smisla i u tom slucaju nema ni potrebe za eksternom konekcijom da bi se pristupilo bazi.

I opet, iz kog razloga na taj nacin bih ja mogao da ugrozim druge korisnike? Ako neko i dobije putem user/pass/ip kombinaciju uspjelu konekciju na moju bazu, sve njegove privilegije se zavrsavaju na mojoj bazi, dalje od nje ne moze nista. Ugrozavam SAMO sebe.

I ja zadrzavam pravo da nesto ne znam, da sam nesto previdio pa bih zamolio i tebe ili nekog drugog da mi skrene paznju. Nije ovo licno prepucavanje vec razmjena znanja i iskustva.

Potpis

:: Nemoj se svadjati sa budalom, ljudi cesto nece primjetiti razliku ::

Ok, drago mi je da su nam isti stavovi oko razmene znanja i iskustava.

Sto se tice sniffing-a i brute force hacking-a, znam cemu sluze ali ni jedan od dva nisam koristio, tako da ne znam koliko bi to bilo realno - ali je svakako moguce.

Mozda sam malo paranoican kada je bezbednost u pitanju, ali uvek krecem od toga: ono sto moze bezbedno, a manje prakticno, cu uvek pre izabrati nego manje bezbedno a prakticnije. Konkretno u ovom slucaju (mysql), phpmyadmin mi odradjuje sve stvari koje su mi potrebne. Nije uvek savrsen i ima podosta ogranicenja (np3 default 8mb upload fajl i sl), ali se i to moze prevazici. A mislim da ces se sloziti da je zatvoren port uvek sigurniji od otvorenog. U tom smislu, web server sa phpmyadminom i mysql u mrezi iza, bez pristupa netu, imaju prednost kod mene naspram udaljene konekcije.

Takodje se slazem, da onaj ko zna sta radi sa bazom i ko ne koristi % za host, ce uvek imati dovoljno siguran sistem. Medjutim isto tako, sutra mysql moze da izbaci verziju 5.x u kojoj ce biti bug, koji kao sto obicno biva bude otkriven na suroviji nacin. I opet tu stoji, da je sistem u pozadini sigurniji.

Da sumiramo - ok, odvratio si me od ideje da je mysql previse 'ranjiv' otvoren ka svetu, ali i dalje ne bi bio kod ISP-a koji ima takav server iz prostog razloga sto mogu preko phpmyadmin-a da odradim sve sto mi treba. Kada i ako se to promeni i ako mi zatreba udaljeni pristup, gotovo sigurno cu ga i ja koristiti ali sam i dalje skeptican ka tome :)

Poz,
Sale

ps. ne znam otkud mi ulete 3389 (umesto 3306)??? :)

Potpis

=========
Uporedi cene i karakteristike za vise od 10.000 proizvoda, izmedju ostalog:
Digitalni foto-aparati
Mobilni telefoni
Skolski pribor
=========