24 lines
1.6 KiB
Markdown
24 lines
1.6 KiB
Markdown
# Intent: MariaDB lokal binden
|
|
|
|
## Ziel
|
|
MariaDB, das ausschließlich von der lokalen WordPress-Instanz genutzt wird, soll nicht mehr auf allen Interfaces (0.0.0.0:3306) erreichbar sein, sondern nur lokal.
|
|
|
|
## Umfang
|
|
- In `hosts/blunix/localServices/wordpress.nix` (dort wird `services.mysql` implizit über `services.wordpress.sites."hdm"` aktiviert) einen expliziten Block `services.mysql.settings.mysqld.bind-address = "127.0.0.1";` ergänzen (Loopback bevorzugt, da WordPress laut vorhandener Konfiguration ohnehin lokal über 127.0.0.1 angesprochen wird).
|
|
|
|
## Explizit ausgeschlossen
|
|
- Keine sonstigen MariaDB-Härtungsmaßnahmen (Auth, TLS, User-Rechte etc.).
|
|
- Keine Änderung an der WordPress-Konfiguration selbst über das Binding hinaus.
|
|
- Keine neue eigenständige MariaDB-Moduldatei, sofern die bestehende implizite Aktivierung über wordpress.nix ausreicht.
|
|
|
|
## Annahmen
|
|
- Es existiert aktuell keine explizite services.mysql.settings-Konfiguration im Repo; MariaDB läuft mit NixOS-Standardwerten (u.a. Standard-Bind auf allen Interfaces).
|
|
- WordPress verbindet sich bereits lokal (Virtualhost "hdm" lauscht auf 127.0.0.1:8055), sodass ein Loopback-Bind der DB die Funktion nicht beeinträchtigt.
|
|
|
|
## Risiken
|
|
- Gering, solange bind-address exakt das Interface trifft, über das WordPress tatsächlich verbindet -- falls WordPress stattdessen über einen Unix-Socket verbindet, ist die Einstellung wirkungslos, aber unschädlich.
|
|
|
|
## Erfolgskriterien
|
|
- MariaDB lauscht nicht mehr auf 0.0.0.0:3306.
|
|
- MariaDB ist nur über das benötigte lokale Interface erreichbar.
|
|
- WordPress funktioniert nach dem Rebuild unverändert weiter.
|