欢迎您访问程序员文章站本站旨在为大家提供分享程序员计算机编程知识!
您现在的位置是: 首页  >  IT编程

关于skip_name_resolve参数的总结分享

程序员文章站 2024-02-23 22:05:04
作为mysql调优的一部分,很多人都推荐开启skip_name_resolve。这个参数是禁止域名解析的(当然,也包括主机名)。很多童鞋会好奇,这背后的原理是什么,什么情况...

作为mysql调优的一部分,很多人都推荐开启skip_name_resolve。这个参数是禁止域名解析的(当然,也包括主机名)。很多童鞋会好奇,这背后的原理是什么,什么情况下开启这个参数比较合适。

基于以下原因,mysql服务端会在内存中维护着一份host信息, 包括三部分:ip,主机名和错误信息。主要用于非本地tcp连接。

1. 通过在第一次建立连接时缓存ip和host name的映射关系,同一主机的后续连接将直接查看host cache,而不用再次进行dns解析。

2. host cache中同样会包含ip登录失败的错误信息。可根据这些信息,对这些ip进行相应的限制。后面将会具体提到。

host cache的信息可通过performance_schema中host_cache表查看。

那么,ip和host name的映射关系是如何建立的呢?

1. 当有一个新的客户端连接进来时,mysql server会为这个ip在host cache中建立一个新的记录,包括ip,主机名和client lookup validation flag,分别对应host_cache表中的ip,host和host_validated这三列。第一次建立连接因为只有ip,没有主机名,所以host将设置为null,host_validated将设置为false。

2. mysql server检测host_validated的值,如果为false,它会试图进行dns解析,如果解析成功,它将更新host的值为主机名,并将host_validated值设为true。如果没有解析成功,判断失败的原因是永久的还是临时的,如果是永久的,则host的值依旧为null,且将host_validated的值设置为true,后续连接不再进行解析,如果该原因是临时的,则host_validated依旧为false,后续连接会再次进行dns解析。

另,解析成功的标志并不只是通过ip,获取到主机名即可,这只是其中一步,还有一步是通过解析后的主机名来反向解析为ip,判断该ip是否与原ip相同,如果相同,才判断为解析成功,才能更新host cache中的信息。

基于上面的总结,下面谈谈 host cache的优缺点:

缺点:当有一个新的客户端连接进来时,mysql server都要建立一个新的记录,如果dns解析很慢,无疑会影响性能。如果被允许访问的主机很多,也会影响性能,这个与host_cache_size有关,这个参数是5.6.5引入的。5.6.8之前默认是128,5.6.8之后默认是-1,基于max_connections的值动态调整。所以如果被允许访问的主机很多,基于lru算法,先前建立的连接可能会被挤掉,这些主机重新进来时,会再次进行dns查询。

优点:通常情况下,主机名是不变的,而ip是多变的。如果一个客户端的ip经常变化,那基于ip的授权将是一个繁琐的过程。因为你很难确定ip什么时候变化。而基于主机名,只需一次授权。而且,基于host cache中的失败信息,可在一定程度上阻止外界的暴力破解攻击。

关于阻止外界的暴力破解攻击,涉及到max_connect_errors参数,默认为100,官方的解释如下:

复制代码 代码如下:

if more than this many successive connection requests from a host are interrupted without a successful connection, the server blocks that host from further connections.如果某个客户端的连接达到了max_connect_errors的限制,将被禁止访问,并提示以下错误:

复制代码 代码如下:

host 'host_name' is blocked because of many connection errors.
unblock with 'mysqladmin flush-hosts'

下面来模拟一下

首先,设置max_connect_errors的值

mysql> show variables like 'max_connect_errors';
+--------------------+-------+
| variable_name   | value |
+--------------------+-------+
| max_connect_errors | 100  |
+--------------------+-------+
row in set (0.00 sec)

mysql> set global max_connect_errors=2;
query ok, 0 rows affected (0.00 sec)

mysql> show variables like 'max_connect_errors';
+--------------------+-------+
| variable_name   | value |
+--------------------+-------+
| max_connect_errors | 2   |
+--------------------+-------+
row in set (0.00 sec)

通过telnet模拟interrupted without a successful connection。

[root@mysql-slave1 ~]# telnet 192.168.244.145 3306
trying 192.168.244.145...
connected to 192.168.244.145.
escape character is '^]'.
n
5.6.26-log
     k]qa1nyt!w|+zhxf1c#|kmysql_native_password
^]
!#08s01got packets out of orderconnection closed by foreign host.
[root@mysql-slave1 ~]# telnet 192.168.244.145 3306
trying 192.168.244.145...
connected to 192.168.244.145.
escape character is '^]'.
n
y#>pvb(>!bl}nknjij]smmysql_native_password
^]
!#08s01got packets out of orderconnection closed by foreign host.
[root@mysql-slave1 ~]# mysql -h192.168.244.145 -uroot -p123456
warning: using a password on the command line interface can be insecure.
error 1129 (hy000): host '192.168.244.144' is blocked because of many connection errors; unblock with 'mysqladmin flush-hosts'

即便后来使用了正确的账号和密码登录,依旧会被阻止。

再来看看host_cache表中的信息,sum_connect_errors为2了。

mysql> select ip,host,host_validated,sum_connect_errors,count_authentication_errors from performance_schema.host_cache;
+-----------------+------+----------------+--------------------+-----------------------------+
| ip       | host | host_validated | sum_connect_errors | count_authentication_errors |
+-----------------+------+----------------+--------------------+-----------------------------+
| 192.168.244.144 | null | yes      |         2 |              0 |
+-----------------+------+----------------+--------------------+-----------------------------+
row in set (0.00 sec)

该阻止会一直生效,直到采取以下操作:

1. mysql> flush hosts;

2. # mysqladmin flush-hosts

3. truncate table performance_schema.host_cache;

4. 或者等待该记录从host cache中被挤掉。

 

如果要禁止dns解析,可设置skip_name_resolve参数,这样,mysql.user表中基于主机名的授权将无法使用,且错误日志中会提示:

[warning] 'user' entry 'root@mysql-slave1' ignored in --skip-name-resolve mode.

这里,通过mysql-slave1访问,将会拒绝访问

[root@mysql-slave1 ~]# mysql -h192.168.244.145 -uroot -p123
warning: using a password on the command line interface can be insecure.
error 1045 (28000): access denied for user 'root'@'192.168.244.144' (using password: yes)

host cache是默认开启的,如果要禁掉,可将host_cache_size设置为0,该参数是个动态参数,可在线修改。

如果要完全禁掉tcp/ip连接,可在mysql启动时,设置skip-networking参数。

总结:

1. 从原理上看,dns解析一般只针对客户端的第一次连接,客户端数据量比较小的情况下,开销其实不大,完全不必启动skip_name_resolve参数,带来的好处就是,为客户端和多变的ip直接解耦,只需对主机名进行一次授权。

2. 在没开启skip_name_resolve情况下,无论是通过# mysql -p123456 走socket连接还是# mysql -p123456 -h127.0.0.1走tcp连接,显示的用户都是root@localhost。如果要显示root@127.0.0.1,必须开启skip_name_resolve参数。

另,可通过\s查看当前连接使用的是socket还是tcp。

以上这篇关于skip_name_resolve参数的总结分享就是小编分享给大家的全部内容了,希望能给大家一个参考,也希望大家多多支持。