Kapitola 12 · 12.6
Pripojenie k databáze zvonku (SSH tunel)
S databázou bežne komunikuje iba vaša vlastná webová stránka. Je na rovnakom serveri a pripája sa cez localhost. Chcete sa k databáze dostať z vlastného počítača, napríklad pomocou HeidiSQL, DBeaver, MySQL Workbench alebo TablePlus? Vo WebOké to urobíte cez SSH tunel. Potrebujete na to balík s SSH: Power Webhost Three, Power Webhost Four, AI Wordpress Three alebo Power Reseller.
Prečo nie priamo cez port 3306?
Databázový port 3306 je na našich serveroch pre internet zatvorený. Robíme to zámerne:
- Otvorený databázový port je neustále terčom útokov. Roboty celý deň skúšajú používateľské mená a heslá. Na jednom serveri napočítame tisíce neúspešných pokusov denne. Jedno slabé alebo uniknuté heslo potom stačí na to, aby niekto mohol čítať alebo vymazať celú vašu databázu.
- Bežné pripojenie k databáze často nie je šifrované. Heslá a údaje sa potom dajú cestou odchytiť, napríklad vo verejnej sieti Wi-Fi.
- Prístup podľa IP adresy je slabý. Doma aj v kancelárii sa vaša IP adresa občas mení a každý, kto zdieľa rovnakú adresu (firemná sieť, hotspot), prejde rovnakými dverami. V praxi to často skončí pri % (ktokoľvek) a vaša databáza je potom otvorená celému svetu.
- Bezpečnostná chyba v samotnom databázovom softvéri sa týka len serverov, ktorých port je dostupný. Pri zatvorenom porte sa k nej zvonku nedostane nikto.
SSH tunel toto všetko rieši. Prihlasujete sa svojím SSH kľúčom (nie heslom, ktoré sa dá uhádnuť), všetko je šifrované a databáza vidí pripojenie ako pripojenie zo samotného servera. Nemusíte pridávať žiadnu IP adresu a funguje to odkiaľkoľvek.
Čo potrebujete?
- Balík s SSH (pozrite si SSH kľúče a prihlasovanie cez SSH). Ak v DirectAdmin nevidíte SSH kľúče, váš balík SSH neobsahuje. Prejsť na iný balík môžete v Môj WebOké pri svojom balíku, na karte Zmeniť hostingový balík.
- SSH kľúč, ktorý je v DirectAdmin uvedený v časti SSH kľúče (krok 1 a 2 v SSH kľúče a prihlasovanie cez SSH).
- Databázového užívateľa s heslom. Najlepšie je vytvoriť pre váš vlastný program samostatného užívateľa, nie používať užívateľa vašej webovej stránky.
Pripojenie pomocou databázového programu
Väčšina programov má tunel zabudovaný. Vyplníte dve sady údajov: údaje pre SSH a údaje pre databázu.
| Nastavenie | Čo vyplniť? |
|---|---|
| Typ pripojenia | HeidiSQL: MariaDB or MySQL (SSH tunnel). DBeaver: karta SSH, začiarknite Use SSH Tunnel. MySQL Workbench: Standard TCP/IP over SSH. TablePlus a Navicat: Over SSH. |
| SSH hostiteľ | Názov servera vášho balíka, napríklad linux2023.webawere.nl (pozrite si Nájdenie názvu servera a používateľského mena DA) |
| SSH port | 1967 |
| SSH užívateľ | Vaše používateľské meno v DA, napríklad wtsilefl |
| SSH kľúč | Váš súkromný kľúč (súbor id_ed25519, bez .pub). HeidiSQL používa PuTTY a vyžaduje súbor .ppk: kľúč prekonvertujte pomocou PuTTYgen. |
| Hostiteľ databázy | 127.0.0.1 (z pohľadu servera) |
| Port databázy | 3306 |
| Užívateľ | Celé meno databázového užívateľa, napríklad wtsilefl_extern |
| Heslo | Heslo tohto databázového užívateľa |
| Databáza | Celý názov databázy, napríklad wtsilefl_shop |
Tunel z príkazového riadka
Nevie váš program sám vytvoriť SSH tunel, alebo radšej pracujete v príkazovom riadku (Mac, Linux alebo Windows Terminal)? Spustite tunel sami:
ssh -p 1967 -N -L 3307:127.0.0.1:3306 wtsilefl@linux2023.webawere.nl
Toto okno nechajte otvorené, kým s databázou pracujete. V programe sa pripojte k hostiteľovi 127.0.0.1, port 3307, s vaším databázovým užívateľom a heslom. Tunel ukončíte klávesmi Ctrl+C.
Pripojenie sa nedarí
- "Permission denied (publickey)": chyba nastala v kroku SSH. Skontrolujte port 1967, či je váš verejný kľúč uvedený v časti Autorizované kľúče a či váš program používa príslušný súkromný kľúč (pozrite si SSH kľúče a prihlasovanie cez SSH).
- "Access denied": krok SSH prebehol úspešne, ale používateľské meno alebo heslo databázy nie je správne. Použite celé meno s vaším používateľským menom v DA a podčiarkovníkom pred ním.
- "Access denied for user ...@127.0.0.1", hoci je heslo správne: v DirectAdmin pridajte v časti Access Hosts daného databázového užívateľa adresu 127.0.0.1. Táto adresa predstavuje iba samotný server, takže nič neotvára smerom von.
- Časový limit pri SSH: po niekoľkých neúspešných pokusoch môže byť vaša IP adresa zablokovaná. Pozrite sa v Môj WebOké do časti Je moja IP adresa zablokovaná? (pozrite si Problémy s prihlásením a ich riešenie).
Tip: V časti Access Hosts databázového užívateľa pre SSH tunel bežne nemusíte nič pridávať: localhost stačí. Ak sú tam ešte staré IP adresy alebo %, môžete ich odstrániť. Už neposkytujú prístup, pretože port 3306 je zvonku zatvorený.