Autoriser son adresse IP pour accéder à une base dans le cloud.

Trouver la bonne adresse

Ce n'est pas l'adresse locale du poste (192.168.x.x) qu'il faut déclarer, mais l'adresse publique, celle que voit le serveur.

Le site monip.click, outil gratuit sans publicité que nous avons créé, l'affiche immédiatement. En ligne de commande, curl https://monip.click renvoie l'adresse seule, pratique dans un script.

• Une adresse domestique est souvent dynamique : elle change, et la règle devient obsolète.
• Un VPN ou le réseau d'une entreprise utilise une ou plusieurs adresses de sortie : demandez-les à l'équipe réseau.
• Déclarez-la au format d'une adresse unique, c'est-à-dire /32 en notation CIDR.

Azure

Pour Azure SQL Database, la règle de pare-feu se pose au niveau du serveur :

az sql server firewall-rule create --resource-group MonGroupe --server monserveur \
    --name Poste-admin --start-ip-address 203.0.113.10 --end-ip-address 203.0.113.10

Azure Database for PostgreSQL et pour MySQL ont leur propre commande de règle de pare-feu (az postgres flexible-server firewall-rule create, par exemple).

Google Cloud SQL

gcloud sql instances patch mon-instance --authorized-networks=203.0.113.10/32

Attention : cette commande remplace la liste complète des réseaux autorisés. Si d'autres adresses existent déjà, listez-les d'abord et incluez-les toutes, séparées par des virgules.

AWS RDS

Sur RDS, l'accès est contrôlé par un groupe de sécurité. L'instance doit aussi être déclarée accessible publiquement.

aws ec2 authorize-security-group-ingress --group-id sg-0123456789abcdef0 \
    --protocol tcp --port 5432 --cidr 203.0.113.10/32

Le port dépend du moteur : 5432 pour PostgreSQL, 3306 pour MySQL et MariaDB, 1433 pour SQL Server, 1521 pour Oracle.

Bonnes pratiques

• Ne déclarez jamais 0.0.0.0/0 (tout Internet) sur une base : c'est l'erreur de sécurité la plus fréquente.
• Supprimez les règles temporaires dès la fin de l'intervention.
• Pour un usage régulier, préférez un accès privé : VPN, point de terminaison privé, serveur de rebond.
• Exigez le chiffrement des connexions (TLS) et des mots de passe robustes, voir notre article sur les mots de passe de bases de données.