Запорол Nodeny+

[a_n_h]

7 минут назад, WideAreaNetwork сказал:

фаере закрыть доступ извне к мускулу

поделись как?

[WideAreaNetwork]

11 минут назад, a_n_h сказал:

поделись как?

ну наверное по ван порту закрыть доступ к порту 3306, только читаю как это сделать

[a_n_h]

45 минут назад, WideAreaNetwork сказал:

ну наверное по ван порту закрыть доступ к порту 3306, только читаю как это сделать

навскидку правило:

#${FwCMD} add 310 deny tcp from any in via igb0 to any dst-port 3306

[joker85]

Ещё как вариант защиты сменить порт

[WideAreaNetwork]

я тут несколько вариантов навалял, вроде тоже должны работать

 

ipfw add 48 deny tcp from any to me 3306 via vlan1009

ipfw add 49 deny tcp from me to any 3306 via vlan1009

 

ipfw add 48 deny tcp from any to any 3306 in via vlan1009

ipfw add 49 deny tcp from any to any 3306 out via vlan1009

ipfw add 48 deny all from any to me 3306 via vlan1009

ipfw add 49 deny all from me to any 3306 via vlan1009

 

ipfw add 48 deny all from any to any 3306 in via vlan1009

ipfw add 49 deny all from any to any 3306 out via vlan1009

 

только не понимаю что лучше указать all или tcp

Изменено December 16, 2018 at 19:40 пользователем WideAreaNetwork

[kvirtu]

1 час назад, a_n_h сказал:

поделись как?

 

в конфиге самого мускуля прописать от кого принимать запросы на порт 3306

[mixtery]

1 час назад, a_n_h сказал:

навскидку правило:

#${FwCMD} add 310 deny tcp from any in via igb0 to any dst-port 3306

жестоко to any - закроет нафиг всем если нат есть
ниже там было to me - куда лучше

[ISK]

17 часов назад, WideAreaNetwork сказал:

только не понимаю что лучше указать all или tcp

all - это всё равно что ip (сетевой уровень), что ниже чем транспортные протоколы (tcp, udp), так что лучше all.

 

Выше правильно написали: to me лучше будет. И можно одним правилом:

#${FwCMD} add 48 deny all from any to me dst-port 3306 via vlan1009 in

#${FwCMD} add 48 deny all from me to any dst-port 3306 via vlan1009 out

 

Как-то так...

[Kiano]

может поднять мускуль на сокете?

для рута только с локалхоста доступ?