如何防止用户访问mysql？

Question

我安装了MariaDB。我将服务器作为本地服务器启动(127.0.0.1:3306)。我想确保www-data用户不能访问它。我试图禁用该用户的mysql命令。但是任何人都可以通过将端口转发到另一台机器并通过它访问服务器来绕过它。我也尝试过使用IP规则，但也不起作用。

iptables -I OUTPUT -o lo -p tcp --dport 3306 --match owner --uid-owner 33 -j DROP

ip6tables -I OUTPUT -o lo -p tcp --dport 3306 --match owner --uid-owner 33 -j DROP

我怎么才能绕开这条路？我的最终目标是确保www数据用户不能以任何方式访问MariaDB服务器。

Answer 1

您可以使用一个系统来强制执行访问控制配置文件，例如SELinux或AppArmor (用于Linux )，或类似的强制访问控制 ( FreeBSD )。

SELinux经常用于与红帽相关的Linux发行版，而AppArmor最常用于发行版，如SUSE/OpenSUSE、Debian派生的Arch。

使用SELinux，您可以进行如下操作，以防止web服务器通过网络连接到数据库：

setsebool -P httpd_can_network_connect_db 0

(不过，0是默认值。使用1允许连接。)