[mysql] 2de ip waarmee maar 1 database toegankelijk is

[codemann]

We hebben hier een MySQL server die extern volledig afgeschermd is, enkel intern kan hij via andere servers benaderd worden. Maar een klant van ons zou toch zijn tabellen in deze database willen benaderen vanaf een extern dynamisch IP. Aangezien hij een dynamisch IP heeft, kunnen we dit niet beveiligen in onze firewall, daarom was ik een andere manier aan het zoeken, en daar zit ook meteen mijn vraag :
Als we een 2de IP gebruiken om deze server te benaderen, is het dan mogelijk om in MySQL te zorgen dat alleen deze klant zijn database via dat IP benaderd kan worden, zonder een aparte MySQL service op dezelfde machine te draaien? Ik zou willen zorgen dat via dat IP geen databases van andere klanten kunnen benaderd worden.
Ik weet dat elke MySQL gebruiker met een gebruikersnaam en wachtwoord zowiezo beveiligd is, maar beveiliging is echt te belangrijk, we kunnen niet voor de hele server externe verbindingen toelaten. En aangezien België nog een land van dynamische IPs is, is een beveiliging langs de andere kant vrijwel ondoenbaar.
Langs de andere kant is dat uiteraard ook een prima argument om de vraag van de klant af te blokken, dat we het alleen toelaten vanaf een vast IP, maar ik wil toch even zeker zijn dat ik dan geen mogelijkheid over het hoofd zie. Klant is koning!?

Alvast bedankt om dit lange stukje tekst te lezen en (hopelijk) voor de vele reacties!

[BFS]

Stomme vraag maar is er geen mogelijkheid tot VPN?

[Verwijderd]

Iets als VPN of een SSH tunnel lijkt me handiger inderdaad.

[codemann]

We hebben VPN of SSH tunneling overwogen, maar gezien dit op meerdere PC's mogelijk moet zijn en we willen opteren voor een simpele oplossing zonder extra software voor de klant, is dit afgevoerd.
Als een simpele oplossing niet mogelijk is, dan voer ik het ook af. Als de klant zorgt voor een vast IP kunnen we het dan wel perfect en heel simpel beveiligen.
Mijn excuses voor mijn koppigheid en alvast bedankt om even mee te denken

[Verwijderd]

Maak een simpele webpagina achter een password (eventueel HTTPS etc) waarbij het IP adres toegang krijgt (en het vorige IP adres geen toegang meer krijgt).

Dan hoeft de klant alleen even in te loggen op een pagina als z'n IP weer eens anders wordt, het is zijn probleem dat z'n IP niet statisch is dus dan mag ie ook zelf meewerken aan de oplossing lijkt me.

[codemann]

Simpel, maar oh zo goed gevonden!
Mijn dank TRRoads, dat idee past perfect in onze lijn van denken.

[Confusion]

Dat betekent wel dat je een database-user met GRANT rechten aan je website hangt; dat is risicovol. Je kan dan bijna beter een interface bieden, eventueel phpmyadmin, middels een database-gebruiker die alleen de strikt noodzakelijke rechten heeft.

[Verwijderd]

Confusion schreef op woensdag 14 november 2007 @ 12:42:
Dat betekent wel dat je een database-user met GRANT rechten aan je website hangt; dat is risicovol. Je kan dan bijna beter een interface bieden, eventueel phpmyadmin, middels een database-gebruiker die alleen de strikt noodzakelijke rechten heeft.

Dat is alleen de user die dat scriptje gebruikt, je kunt dat script helemaal afschermen van de rest van de server dus dat lijkt me wel veilig toch? Die user kan dan ook alleen maar rechten toekennen over die ene database, dat beperkt het risico sowieso al.