จำกัด Remote Access ฐานข้อมูลใน Plesk เฉพาะ IP ที่ใช้จริง

การต่อฐานข้อมูลจากเครื่องภายนอกมีประโยชน์เมื่อแอปทำงานคนละเซิร์ฟเวอร์ แต่เปิดให้ทุก IP เข้าถึงได้เพิ่มพื้นที่โจมตี Plesk ให้กำหนดกฎ remote access แยกตาม database user ในแพ็กเกจที่มีสิทธิ์ คู่มือนี้ช่วยเลือกกฎให้เหมาะกับตำแหน่งแอปและตรวจปัญหาที่มาจาก firewall โดยไม่ต้องเข้าไปบริหารเซิร์ฟเวอร์เอง

ตอบก่อนว่าใครต้องเชื่อมจากที่ไหน

หากเว็บไซต์กับฐานข้อมูลอยู่บนเครื่องเดียวกัน ให้ใช้ Allow local connections only เมื่อเหมาะสม แอปที่อยู่ภายนอกต้องรู้ IP ต้นทางที่คงที่ก่อนเลือก Allow remote connections from specified hosts การเลือก Allow remote connections from any host ควรมีเหตุผลชัดเจนและช่วงเวลาใช้งานจำกัด เพราะบัญชีถูกลองรหัสผ่านจากที่ใดก็ได้เมื่อ firewall เปิดรับ

เข้า Websites & Domains > Databases > User Management เลือก database user ที่แอปใช้ ดูส่วน Access Control หรือ Remote Access ตามชนิดฐาน แล้วเลือกกฎที่ตรงแผน หากไม่มีตัวเลือกนี้ เอกสารระบุว่าต้องได้รับสิทธิ์ Remote access for database users จาก subscription จึงควรติดต่อผู้ให้บริการ แทนการหาทางแก้ผ่านไฟล์ของแอป

MySQL/MariaDB กับฐานอื่นต่างกัน

สำหรับ MySQL, กฎ access ของ Plesk ผูกกับ ACL ของ MySQL และเพิ่มให้ user รายตัว เลือกเฉพาะ IP หรือ host ที่จำเป็น พร้อมจำไว้ว่ากฎระบุ host ยังอนุญาต local connection ตามเอกสาร หากมี firewall ของ Plesk ปิดการเชื่อมขาเข้า ต่อให้ ACL อนุญาตก็ยังต่อไม่ได้ ต้องขอผู้ให้บริการตรวจ firewall ด้วย ผู้ใช้เว็บไซต์ไม่ควรปิด firewall ทั้งเครื่องเพื่อให้เครื่องมือหนึ่งทำงาน

สำหรับ PostgreSQL หรือ SQL Server กฎระยะไกลอาศัย firewall และอาจต้องรอผู้ให้บริการตรวจอนุมัติก่อนมีผล เมนูที่เห็นกับเวลาบังคับใช้จึงอาจไม่เหมือน MySQL ไม่ควรตีความว่าการกด Save แล้วหน้าไม่เปลี่ยนทันทีคือบั๊ก ตรวจสถานะกับผู้ให้บริการโดยระบุ IP ต้นทาง พอร์ตฐานข้อมูล และเวลาทดสอบ โดยไม่เปิดเผยรหัสผ่าน

ทดสอบแบบพิสูจน์ทั้งอนุญาตและปฏิเสธ

ทดสอบจาก IP ที่อนุญาตว่าต่อได้ด้วยชื่อ user ที่ต้องการ และจาก IP ที่ไม่อนุญาตว่าต่อไม่ได้ ถ้าทดสอบจากเครื่องเดียวกันทั้งสองกรณีจะไม่พิสูจน์กฎ หากต่อไม่ได้ ให้ตรวจ Connection Info, รหัสผ่าน, ชนิดฐาน, IP ต้นทางจริงหลัง NAT และ firewall แยกกัน บางสำนักงานมี IP เปลี่ยนได้ เมื่อ IP เปลี่ยน แอปจะต่อไม่ติด จึงต้องวางแผนการอัปเดตกฎหรือใช้ช่องทางเชื่อมต่อที่ผู้ให้บริการรองรับ

ทบทวนกฎเมื่อเลิกใช้แอปภายนอก ลบ IP เก่าหรือเปลี่ยน user ที่เคยให้ผู้รับจ้างใช้งาน สิทธิ์เครือข่ายแคบช่วยลดผลกระทบ แต่ไม่แทนรหัสผ่านที่แข็งแรงและสิทธิ์ SQL ที่จำกัด

อ่านเอกสารต้นทาง: https://docs.plesk.com/en-US/obsidian/customer-guide/website-databases/setting-up-custom-access-rules.73491/