Chapitre 12 · 12.6
Se connecter à votre base de données depuis l'extérieur (tunnel SSH)
Normalement, seul votre propre site web communique avec la base de données. Elle se trouve sur le même serveur et se connecte via localhost. Vous souhaitez accéder à votre base de données depuis votre propre ordinateur, par exemple avec HeidiSQL, DBeaver, MySQL Workbench ou TablePlus ? Chez WebOké, cela se fait via un tunnel SSH. Pour cela, vous avez besoin d'une offre avec SSH : Power Webhost Three, Power Webhost Four, AI Wordpress Three ou Power Reseller.
Pourquoi pas directement via le port 3306 ?
Sur nos serveurs, le port de base de données 3306 est fermé à Internet. C'est un choix délibéré :
- Un port de base de données ouvert est attaqué en permanence. Des robots essaient des noms d'utilisateur et des mots de passe toute la journée. Sur un seul serveur, nous comptons des milliers de tentatives échouées par jour. Un seul mot de passe faible ou divulgué suffit alors pour lire ou effacer toute votre base de données.
- Une connexion classique à une base de données n'est souvent pas chiffrée. Les mots de passe et les données peuvent alors être interceptés en chemin, par exemple sur un réseau wifi public.
- L'accès par adresse IP est peu sûr. À la maison comme au bureau, votre adresse IP change de temps en temps, et toute personne qui partage la même adresse (un réseau d'entreprise, un hotspot) passe alors par la même porte. En pratique, on finit souvent par utiliser % (tout le monde), et votre base de données est alors ouverte au monde entier.
- Une faille dans le logiciel de base de données lui-même ne touche que les serveurs dont le port est accessible. Avec un port fermé, personne ne peut y accéder depuis l'extérieur.
Un tunnel SSH résout tous ces problèmes. Vous vous connectez avec votre clé SSH (pas de mot de passe qui puisse être deviné), tout est chiffré et la base de données voit la connexion comme une connexion provenant du serveur lui-même. Vous n'avez pas besoin d'ajouter d'adresse IP, et cela fonctionne depuis n'importe où.
De quoi avez-vous besoin ?
- Une offre avec SSH (voir Clés SSH et connexion via SSH). Si vous ne voyez pas Clés SSH dans DirectAdmin, SSH n'est pas inclus dans votre offre. Vous pouvez changer d'offre dans Mon WebOké, au niveau de votre offre, sur la carte Changer d'offre d'hébergement.
- Une clé SSH enregistrée dans DirectAdmin sous Clés SSH (étapes 1 et 2 de Clés SSH et connexion via SSH).
- Un utilisateur de base de données avec mot de passe. Créez de préférence un utilisateur distinct pour votre propre logiciel, et non l'utilisateur de votre site web.
Se connecter avec un logiciel de base de données
La plupart des logiciels intègrent le tunnel. Vous saisissez alors deux ensembles d'informations : celles de SSH et celles de la base de données.
| Paramètre | Que saisir ? |
|---|---|
| Type de connexion | HeidiSQL : MariaDB or MySQL (SSH tunnel). DBeaver : onglet SSH, cochez Use SSH Tunnel. MySQL Workbench : Standard TCP/IP over SSH. TablePlus et Navicat : Over SSH. |
| Hôte SSH | Le nom du serveur de votre offre, par exemple linux2023.webawere.nl (voir Votre nom de serveur et votre nom d'utilisateur DA retrouver) |
| Port SSH | 1967 |
| Utilisateur SSH | Votre nom d'utilisateur DA, par exemple wtsilefl |
| Clé SSH | Votre clé privée (le fichier id_ed25519, sans .pub). HeidiSQL utilise PuTTY et demande un fichier .ppk : convertissez votre clé avec PuTTYgen. |
| Hôte de la base de données | 127.0.0.1 (vu depuis le serveur) |
| Port de la base de données | 3306 |
| Utilisateur | Le nom complet de l'utilisateur de base de données, par exemple wtsilefl_extern |
| Mot de passe | Le mot de passe de cet utilisateur de base de données |
| Base de Données | Le nom complet de la base de données, par exemple wtsilefl_shop |
Un tunnel depuis la ligne de commande
Votre logiciel ne sait pas créer lui-même un tunnel SSH, ou vous préférez travailler en ligne de commande (Mac, Linux ou Windows Terminal) ? Lancez alors le tunnel vous-même :
ssh -p 1967 -N -L 3307:127.0.0.1:3306 wtsilefl@linux2023.webawere.nl
Laissez cette fenêtre ouverte tant que vous travaillez avec la base de données. Dans votre logiciel, connectez-vous avec l'hôte 127.0.0.1, le port 3307 ainsi que votre utilisateur de base de données et votre mot de passe. Pour arrêter, appuyez sur Ctrl+C.
La connexion ne fonctionne pas
- "Permission denied (publickey)" : l'étape SSH échoue. Vérifiez le port 1967, que votre clé publique figure bien sous Clés autorisées et que votre logiciel utilise la clé privée correspondante (voir Clés SSH et connexion via SSH).
- "Access denied" : l'étape SSH a réussi, mais le nom d'utilisateur ou le mot de passe de la base de données est incorrect. Utilisez le nom complet, précédé de votre nom d'utilisateur DA et du tiret bas.
- "Access denied for user ...@127.0.0.1" alors que le mot de passe est correct : dans DirectAdmin, ajoutez 127.0.0.1 sous Access Hosts de cet utilisateur de base de données. Cette adresse désigne uniquement le serveur lui-même, elle n'ouvre donc rien vers l'extérieur.
- Délai d'attente dépassé lors de la connexion SSH : après quelques tentatives échouées, votre adresse IP peut être bloquée. Consultez Suis-je bloqué ? dans Mon WebOké (voir Problèmes de connexion résolus).
Astuce : pour un tunnel SSH, vous n'avez normalement rien à ajouter sous Access Hosts d'un utilisateur de base de données : localhost suffit. S'il reste d'anciennes adresses IP ou %, vous pouvez les supprimer. Elles ne donnent plus accès, car le port 3306 est fermé depuis l'extérieur.