mySQL sicher machen - SSH oder SSL - Kosten - Anleitung

[mkinzler]

Wo läuft der MySQL-Server?
Läuft dort auch ein Webserver?
Ist schon ein SSL-Zertifikat vorhanden?
Interne Benutzung oder auch Zugriff von Kunden?

[baumina]

Zitat von mkinzler:

Wo läuft der MySQL-Server?
Läuft dort auch ein Webserver?
Ist schon ein SSL-Zertifikat vorhanden?
Interne Benutzung oder auch Zugriff von Kunden?

Das mySQL läuft auf einem Kunden-Windows Server, auf dem ich remote-Zugriff habe, um das mySQL administrieren zu können.
Auf diesem Server läuft nur mein mySQL und ein FTP-Server, den mein Programm ebenfalls zur Dokumentenablage benutzt. Ein Webserver läuft darauf glaube ich nicht.
Da ich kein SSL-Zertifikat erstellt habe, gehe ich davon aus dass keins vorhanden ist.
Der Kunde greift auch mit meinem Programm intern darauf zu, allerdings über eine andere IP-Adresse als die externen Firmen.

Zur Zeit wird mir bei dem Kunden ein neuer Windows Server 2012 als VM erstellt, auf dem ich dann das neueste mySQL installieren werde. In diesem Zuge kam jetzt die Überlegung das mySQL so zu installieren, dass in Zukunft der Zugriff über SSL erfolgen soll, oder eben über SSH.

[samso]

Das ist doch ein Server der nur im LAN genutzt werden soll und nur für Wartungszwecke von außen erreicht werden soll, oder habe ich das falsch verstanden? Dann ist aus meiner Sicht ein VPN-Zugang doch sehr viel einfacher, als jeden einzelnen Dienst zu verschlüsseln (denn nachdem Du mySql verschlüsselt hast, musst Du ja auch noch FTP verschlüsseln).

[mquadrat]

Soll intern auch verschlüsselt werden? Wenn du SSL sowohl von außen als auch von innen verwenden möchtest, muss die Domain gleich sein, sonst wird das Server-Zertifikat im Client zurückgewiesen. Beispiel: Wenn dein Zert auf dbserver.meinefirma.de lautet, dann musst du den Server auch IMMER über diesen Namen aufrufen, sonst kaputt.

[baumina]

@samso Ohje, FTP ist also auch unsicher, wie ich deinen Worten entnehme. Dann ist die SSH-Lösung wohl eher etwas für mich ... ist VPN denn SSH? Ich bin komplett verwirrt. Ich glaube ich muss verdammt viel Grundwissen erlangen *schnief

@mquadrat auf sowas hat mich mein Kollege auch schon hingewiesen, performancetechnisch ist das natürlich grauenhaft, aber zur Not würde ich eben dann auch interne Zugriffe verschlüsseln.

[mkinzler]

VPN bedeutet, das eine Teilstrecke eines Netwerkes über einen verschlüsselten Kanal durch eine unsichere "Wolke" erfolgt. Dafür gibt es verschiedene Wege.
-SSL
-IPSEC
-SSH

und weitere.

Dies kann jeweils über Software oder auch über Hardware (Router) bereitgestellt werden

[Valle]

Du suchst ein VPN (z.B. mit OpenVPN). Von der Lösung mit einzeln per SSL verschlüsselten Services würde ich abraten, da diese Services am besten gar nicht öffentlich erreichbar sein sollten.

SSH dient zu Administration von (u.a.) Linux Webservern und hat hier gar nichts zu suchen. Damit kann man zwar theoretisch auch Ports tunneln (ähnlich zu einem VPN), aber davon rate ich ab. SSH ist nicht für deinen Einsatzzweck konzipiert.

@mkinzler: SSL und SSH sind doch kein VPN! Neben IPSec gibt's da vor zum Beispiel OpenVPN, Cisco VPN, Fritz VPN und mehr.

[Sir Rufo]

Das einfachste (und trotzdem sicher(er)) wäre einen Webserver (mit PHP-Unterstützung) zu installieren. Die Verbindung wird per SSL abgesichert.

Auf dem Webserver kommt dann das PHP-Skript von DevArt zum Einsatz und schon steht die Verbindung zum MySQL-Server.

Ein weiteres PHP-Skript (müsste erstellt werden) regelt dann den Austausch der Dateien. Intern kann das auch bei FTP bleiben.

Der Sinn und Zweck dabei ist es, den Zugriff auf die einzelnen Dienste über einen Vermittler laufen zu lassen.

Code:

Client <-- HTTPS --> WebServer <-- PHP --> MySQL-Server
Client <-- HTTPS --> WebServer <-- PHP --> FTP-Server
Client <-- HTTPS --> WebServer <-- PHP --> Was auch immer

Die einzige Schwachstelle ist nun der WebServer und die PHP-Skripte und nicht mehr (wie vorher) der MySQL-Server, der FTP-Server, der "Was auch immer" Dienst. Das reduziert die Angriffsfläche.