mySQL sicher machen - SSH oder SSL - Kosten - Anleitung

[baumina]

Hallo ihr Lieben,

ich möchte meine mySQL-Verbindung zu einem entfernten Rechner sicher machen, doch für mich sind das alles noch recht böhmische Dörfer. Als erstes muss ich mich glaub entscheiden ob SSL oder SSH.

Wo liegen die Vor- und Nachteile bei SSH oder SSL?
Was kommen für Kosten auf mich zu bei SSH oder SSL?
Irgendwie tendiere ich zu SSH, wenn ich mich dafür entscheiden sollte, welche Software ist da zu empfehlen bzw. hat jemand eine richtig gute und einfache Anleitung das einzurichten?
Was würdet ihr bevorzugen, womit habt ihr Erfahrungen?

Natürlich habe ich schon ein wenig gegoogelt und ein wenig das mySQL-Handbuch zu Rate gezogen, trotzdem bin ich für alle Anregungen und Links dankbar!

Edit : Noch ein paar aktuelle Fakten:
Im Moment habe ich ein Delphi-Programm, das über UniDAC eine nicht verschlüsselte Verbindung zum mySQL-Server herstellt (einfach nur IP-Adresse des Servers, Port 3306 und User + Passwort).
Dieses Programm wird von mehreren Firmen und dort von mehreren Arbeitsplätzen aus benutzt, die alle auf ein und den selben entfernten mySQL-Server greifen.

[mkinzler]

Es kommt darauf an, wie die Lösung aussieht. Geht es allgemeinum einen sicheren Zugriff (ggf. Schichtenarchitektur) oder nur darum eine vorhandenes Programm, welches bisher über eine unsichere Verbindung auf eine MySQL-Server zugreift.

Für 2. hast du die Wahl zwischen VPN oder einefacheren Tunnellösungen wie stunnel o. ö.

https://www.stunnel.org/index.html
http://netz10.de/2011/01/10/ssh-tunnel/

[baumina]

Es handelt sich um ein vorhandenes Programm, das bislang eine unsichere Verbindung verwendet (IP-Adresee des mySQL-Servers und Port 3306 über UniDAC)

[Sir Rufo]

Ein MySQL Server der direkt übers Internet erreichbar ist, ist das größte Sicherheitsrisiko.

Darum sollte der Zugriff darauf niemals direkt erfolgen.

Die fertige Lösung gibt es doch direkt bei DevArt
http://www.devart.com/unidac/docs/in...ov_article.htm

[mkinzler]

Ist natürlich noch besser als die Verwendung von 3rd-Party-Lösungen.

[baumina]

Dass der Zugriff mit UniDAC über SSL geht, weiß ich. Dass man mySQL mit OpenSSL oder yaSSL laufen lassen kann, weiß ich auch. Mein Haupt-Problem ist, dass momentan weder der mySQL-Server, noch die Clientsoftware für SSL konfiguriert ist und ich nocht nicht so richtig herausgefunden habe, was ich denn so alles kaufen/installieren und mein meinem Delphi-Programm ausliefern muss.

[mkinzler]

Wo läuft der MySQL-Server?
Läuft dort auch ein Webserver?
Ist schon ein SSL-Zertifikat vorhanden?
Interne Benutzung oder auch Zugriff von Kunden?

[baumina]

Zitat von mkinzler:

Wo läuft der MySQL-Server?
Läuft dort auch ein Webserver?
Ist schon ein SSL-Zertifikat vorhanden?
Interne Benutzung oder auch Zugriff von Kunden?

Das mySQL läuft auf einem Kunden-Windows Server, auf dem ich remote-Zugriff habe, um das mySQL administrieren zu können.
Auf diesem Server läuft nur mein mySQL und ein FTP-Server, den mein Programm ebenfalls zur Dokumentenablage benutzt. Ein Webserver läuft darauf glaube ich nicht.
Da ich kein SSL-Zertifikat erstellt habe, gehe ich davon aus dass keins vorhanden ist.
Der Kunde greift auch mit meinem Programm intern darauf zu, allerdings über eine andere IP-Adresse als die externen Firmen.

Zur Zeit wird mir bei dem Kunden ein neuer Windows Server 2012 als VM erstellt, auf dem ich dann das neueste mySQL installieren werde. In diesem Zuge kam jetzt die Überlegung das mySQL so zu installieren, dass in Zukunft der Zugriff über SSL erfolgen soll, oder eben über SSH.

[samso]

Das ist doch ein Server der nur im LAN genutzt werden soll und nur für Wartungszwecke von außen erreicht werden soll, oder habe ich das falsch verstanden? Dann ist aus meiner Sicht ein VPN-Zugang doch sehr viel einfacher, als jeden einzelnen Dienst zu verschlüsseln (denn nachdem Du mySql verschlüsselt hast, musst Du ja auch noch FTP verschlüsseln).

[mquadrat]

Soll intern auch verschlüsselt werden? Wenn du SSL sowohl von außen als auch von innen verwenden möchtest, muss die Domain gleich sein, sonst wird das Server-Zertifikat im Client zurückgewiesen. Beispiel: Wenn dein Zert auf dbserver.meinefirma.de lautet, dann musst du den Server auch IMMER über diesen Namen aufrufen, sonst kaputt.