Запорол Nodeny+

[a_n_h 590]

7 минут назад, WideAreaNetwork сказал:

фаере закрыть доступ извне к мускулу

поделись как?

[WideAreaNetwork 222]

11 минут назад, a_n_h сказал:

поделись как?

ну наверное по ван порту закрыть доступ к порту 3306, только читаю как это сделать

[a_n_h 590]

45 минут назад, WideAreaNetwork сказал:

ну наверное по ван порту закрыть доступ к порту 3306, только читаю как это сделать

навскидку правило:

#${FwCMD} add 310 deny tcp from any in via igb0 to any dst-port 3306

[joker85 27]

Ещё как вариант защиты сменить порт

[WideAreaNetwork 222]

я тут несколько вариантов навалял, вроде тоже должны работать

 

ipfw add 48 deny tcp from any to me 3306 via vlan1009

ipfw add 49 deny tcp from me to any 3306 via vlan1009

 

ipfw add 48 deny tcp from any to any 3306 in via vlan1009

ipfw add 49 deny tcp from any to any 3306 out via vlan1009

ipfw add 48 deny all from any to me 3306 via vlan1009

ipfw add 49 deny all from me to any 3306 via vlan1009

 

ipfw add 48 deny all from any to any 3306 in via vlan1009

ipfw add 49 deny all from any to any 3306 out via vlan1009

 

только не понимаю что лучше указать all или tcp

Відредаговано 2018-12-16 19:40:28 WideAreaNetwork

[kvirtu 315]

1 час назад, a_n_h сказал:

поделись как?

 

в конфиге самого мускуля прописать от кого принимать запросы на порт 3306

[mixtery 121]

1 час назад, a_n_h сказал:

навскидку правило:

#${FwCMD} add 310 deny tcp from any in via igb0 to any dst-port 3306

жестоко to any - закроет нафиг всем если нат есть
ниже там было to me - куда лучше

[ISK 259]

17 часов назад, WideAreaNetwork сказал:

только не понимаю что лучше указать all или tcp

all - это всё равно что ip (сетевой уровень), что ниже чем транспортные протоколы (tcp, udp), так что лучше all.

 

Выше правильно написали: to me лучше будет. И можно одним правилом:

#${FwCMD} add 48 deny all from any to me dst-port 3306 via vlan1009 in

#${FwCMD} add 48 deny all from me to any dst-port 3306 via vlan1009 out

 

Как-то так...

[Kiano 616]

может поднять мускуль на сокете?

для рута только с локалхоста доступ?