LINUX.ORG.RU
Форум — Admin  

По-умолчанию мускуль ходит по сети безопасно или нет?

 


0

1

Собственно говоря, если я делаю на дефолтном клиенте mysql -h -u -p на дефолтный сервер (не считая правку bind-address) в Сети, то оно идёт с шифрованием или как?

Спасибо.

★★★★★

Последнее исправление: targitaj (всего исправлений: 1)
← Максимальное значение порта при пробросе с помощью DNAT
nginx jsessionid →
Ответ на: комментарий от targitaj

может, но это надо специально настраивать

по дефолту безопасным оно никак не может быть, даже если TLS соединение включено в конфигах по дефолту (я про такие дистры не знаю), то как минимум надо свои сертификаты устанавливать

Harald ★★★★★
()
Ответ на: комментарий от targitaj

Работают исходя из предположения что в (доверенной) сети нет человека-по-середине, или принимая соответствующие риски, или шифруя трафик средствами мускуля (или стороннего ПО).
На сколько я понимаю в полдавляющем большинстве случаев этим просто не заморачиваются.

MrClon ★★★★★
()
Ответ на: комментарий от targitaj

Всегда можно банальный проброс порта через SSH сделать. Ну или VPN организовать, если нужна максимальная производительность.

Вообще есть мнение, что подобные программы не предназначены для публичного выставления и лучше их всегда защищать хотя бы фаерволом.

Legioner ★★★★★
()

SSH туннель по идее должен помочь.

sT331h0rs3 ★★★★★
()
Ответ на: комментарий от bookman900

в марии есть прокачка безопасных подсоединений

Во всех дистрибутивах и форках mysql есть поддержка TLSv1. Чтобы не было проблем с puddle надо использовать свежий mysql релиз или старше 5.7.10 https://bugs.mysql.com/bug.php?id=71314 или марию 10.0.15 и старше https://mariadb.com/kb/en/mariadb/mariadb-10015-release-notes/

настройка везде одинаковая:

https://www.percona.com/blog/2013/06/22/setting-up-mysql-ssl-and-secure-conne...

MySQL часто используют как - соединились выполнили запрос и отвалились. SSL медленно работает на соединение, поэтому если это проблема надо использовать шифрование только для удалённых клиентов или через vpn.

Для бекапа/поднятия реплики обычно делают бекап локально (база короче всего по времени напряжена бекапом) и копируют через rsync/scp или сразу через пайп в ssh отправляют на удалённый сервер.

anonymous
()

На сколько я знаю все передается в открытом виде, кроме пароля. И пароль не просто хэш, а хэш с солью

anonymous
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.
← Максимальное значение порта при пробросе с помощью DNAT
Admin
nginx jsessionid →