作为MySQL调优的一部分很多人都推荐开启skip_name_resolve。这个参数是禁止域名解析的当然也包括主机名。很多童鞋会好奇这背后的原理是什么什么情况下开启这个参数比较合适。
基于以下原因MySQL服务端会在内存中维护着一份host信息 包括三部分IP主机名和错误信息。主要用于非本地TCP连接。
1. 通过在第一次建立连接时缓存IP和host name的映射关系同一主机的后续连接将直接查看host cache而不用再次进行DNS解析。
2. host cache中同样会包含IP登录失败的错误信息。可根据这些信息对这些IP进行相应的限制。后面将会具体提到。
host cache的信息可通过performance_schema中host_cache表查看。
那么IP和host name的映射关系是如何建立的呢
1. 当有一个新的客户端连接进来时MySQL Server会为这个IP在host cache中建立一个新的记录包括IP主机名和client lookup validation flag分别对应host_cache表中的IPHOST和HOST_VALIDATED这三列。第一次建立连接因为只有IP没有主机名所以HOST将设置为NULLHOST_VALIDATED将设置为FALSE。
2. MySQL Server检测HOST_VALIDATED的值如果为FALSE它会试图进行DNS解析如果解析成功它将更新HOST的值为主机名并将HOST_VALIDATED值设为TRUE。如果没有解析成功判断失败的原因是永久的还是临时的如果是永久的则HOST的值依旧为NULL且将HOST_VALIDATED的值设置为TRUE后续连接不再进行解析如果该原因是临时的则HOST_VALIDATED依旧为FALSE后续连接会再次进行DNS解析。
另解析成功的标志并不只是通过IP获取到主机名即可这只是其中一步还有一步是通过解析后的主机名来反向解析为IP判断该IP是否与原IP相同如果相同才判断为解析成功才能更新host cache中的信息。
基于上面的总结下面谈谈 host cache的优缺点
缺点当有一个新的客户端连接进来时MySQL Server都要建立一个新的记录如果DNS解析很慢无疑会影响性能。如果被允许访问的主机很多也会影响性能这个与host_cache_size有关这个参数是5.6.5引入的。5.6.8之前默认是128,5.6.8之后默认是-1,基于max_connections的值动态调整。所以如果被允许访问的主机很多基于LRU算法先前建立的连接可能会被挤掉这些主机重新进来时会再次进行DNS查询。
优点通常情况下主机名是不变的而IP是多变的。如果一个客户端的IP经常变化那基于IP的授权将是一个繁琐的过程。因为你很难确定IP什么时候变化。而基于主机名只需一次授权。而且基于host cache中的失败信息可在一定程度上阻止外界的暴力破解攻击。
关于阻止外界的暴力破解攻击涉及到max_connect_errors参数默认为100官方的解释如下
复制代码 代码如下:
If more than this many successive connection requests from a host are interrupted without a successful connection, the server blocks that host from further connections.如果某个客户端的连接达到了max_connect_errors的限制将被禁止访问并提示以下错误
复制代码 代码如下:
Host 'host_name' is blocked because of many connection errors.
Unblock with 'mysqladmin flush-hosts'
下面来模拟一下
首先设置max_connect_errors的值
?
| 123456789101112131415161718 | mysql> show variables like 'max_connect_errors';+--------------------+-------+| Variable_name | Value |+--------------------+-------+| max_connect_errors | 100 |+--------------------+-------+row in set (0.00 sec) mysql> set global max_connect_errors=2;Query OK, 0 rows affected (0.00 sec) mysql> show variables like 'max_connect_errors';+--------------------+-------+| Variable_name | Value |+--------------------+-------+| max_connect_errors | 2 |+--------------------+-------+row in set (0.00 sec) |
通过telnet模拟interrupted without a successful connection。
?
| 1234567891011121314151617181920 | [root@mysql-slave1 ~]# telnet 192.168.244.145 3306Trying 192.168.244.145...Connected to 192.168.244.145.Escape character is '^]'.N5.6.26-log K]qA1nYT!w|+ZhxF1c#|kmysql_native_password^]!#08S01Got packets out of orderConnection closed by foreign host.[root@mysql-slave1 ~]# telnet 192.168.244.145 3306Trying 192.168.244.145...Connected to 192.168.244.145.Escape character is '^]'.NY#>PVB(>!Bl}NKnjIj]sMmysql_native_password^]!#08S01Got packets out of orderConnection closed by foreign host.[root@mysql-slave1 ~]# mysql -h192.168.244.145 -uroot -p123456Warning: Using a password on the command line interface can be insecure.ERROR 1129 (HY000): Host '192.168.244.144' is blocked because of many connection errors; unblock with 'mysqladmin flush-hosts' |
即便后来使用了正确的账号和密码登录依旧会被阻止。
再来看看host_cache表中的信息sum_connect_errors为2了。
?
| 1234567 | mysql> select ip,host,host_validated,sum_connect_errors,count_authentication_errors from performance_schema.host_cache;+-----------------+------+----------------+--------------------+-----------------------------+| ip | host | host_validated | sum_connect_errors | count_authentication_errors |+-----------------+------+----------------+--------------------+-----------------------------+| 192.168.244.144 | NULL | YES | 2 | 0 |+-----------------+------+----------------+--------------------+-----------------------------+row in set (0.00 sec) |
该阻止会一直生效直到采取以下操作
1. mysql> flush hosts;
2. # mysqladmin flush-hosts
3. truncate table performance_schema.host_cache;
4. 或者等待该记录从host cache中被挤掉。
如果要禁止DNS解析可设置skip_name_resolve参数这样mysql.user表中基于主机名的授权将无法使用且错误日志中会提示
?
| 1 | [Warning] 'user' entry 'root@mysql-slave1' ignored in --skip-name-resolve mode. |
这里通过mysql-slave1访问将会拒绝访问
?
| 123 | [root@mysql-slave1 ~]# mysql -h192.168.244.145 -uroot -p123Warning: Using a password on the command line interface can be insecure.ERROR 1045 (28000): Access denied for user 'root'@'192.168.244.144' (using password: YES) |
host cache是默认开启的如果要禁掉可将host_cache_size设置为0该参数是个动态参数可在线修改。
如果要完全禁掉TCP/IP连接,可在MySQL启动时设置skip-networking参数。
总结
1. 从原理上看DNS解析一般只针对客户端的第一次连接客户端数据量比较小的情况下开销其实不大完全不必启动skip_name_resolve参数带来的好处就是为客户端和多变的IP直接解耦只需对主机名进行一次授权。
2. 在没开启skip_name_resolve情况下无论是通过# mysql -p123456 走socket连接还是# mysql -p123456 -h127.0.0.1走TCP连接显示的用户都是root@localhost。如果要显示root@127.0.0.1必须开启skip_name_resolve参数。
另可通过\s查看当前连接使用的是socket还是TCP。
共同学习，写下你的评论
评论加载中...
作者其他优质文章
