关于skip_name_resolve参数的总结分享
作为MySQL调优的一部分,很多人都推荐开启skip_name_resolve。这个参数是禁止域名解析的(当然,也包括主机名)。很多童鞋会好奇,这背后的原理是什么,什么情况下开启这个参数比较合适。
基于以下原因,MySQL服务端会在内存中维护着一份host信息,包括三部分:IP,主机名和错误信息。主要用于非本地TCP连接。
1.通过在第一次建立连接时缓存IP和hostname的映射关系,同一主机的后续连接将直接查看hostcache,而不用再次进行DNS解析。
2.hostcache中同样会包含IP登录失败的错误信息。可根据这些信息,对这些IP进行相应的限制。后面将会具体提到。
hostcache的信息可通过performance_schema中host_cache表查看。
那么,IP和hostname的映射关系是如何建立的呢?
1.当有一个新的客户端连接进来时,MySQLServer会为这个IP在hostcache中建立一个新的记录,包括IP,主机名和clientlookupvalidationflag,分别对应host_cache表中的IP,HOST和HOST_VALIDATED这三列。第一次建立连接因为只有IP,没有主机名,所以HOST将设置为NULL,HOST_VALIDATED将设置为FALSE。
2.MySQLServer检测HOST_VALIDATED的值,如果为FALSE,它会试图进行DNS解析,如果解析成功,它将更新HOST的值为主机名,并将HOST_VALIDATED值设为TRUE。如果没有解析成功,判断失败的原因是永久的还是临时的,如果是永久的,则HOST的值依旧为NULL,且将HOST_VALIDATED的值设置为TRUE,后续连接不再进行解析,如果该原因是临时的,则HOST_VALIDATED依旧为FALSE,后续连接会再次进行DNS解析。
另,解析成功的标志并不只是通过IP,获取到主机名即可,这只是其中一步,还有一步是通过解析后的主机名来反向解析为IP,判断该IP是否与原IP相同,如果相同,才判断为解析成功,才能更新hostcache中的信息。
基于上面的总结,下面谈谈hostcache的优缺点:
缺点:当有一个新的客户端连接进来时,MySQLServer都要建立一个新的记录,如果DNS解析很慢,无疑会影响性能。如果被允许访问的主机很多,也会影响性能,这个与host_cache_size有关,这个参数是5.6.5引入的。5.6.8之前默认是128,5.6.8之后默认是-1,基于max_connections的值动态调整。所以如果被允许访问的主机很多,基于LRU算法,先前建立的连接可能会被挤掉,这些主机重新进来时,会再次进行DNS查询。
优点:通常情况下,主机名是不变的,而IP是多变的。如果一个客户端的IP经常变化,那基于IP的授权将是一个繁琐的过程。因为你很难确定IP什么时候变化。而基于主机名,只需一次授权。而且,基于hostcache中的失败信息,可在一定程度上阻止外界的暴力破解攻击。
关于阻止外界的暴力破解攻击,涉及到max_connect_errors参数,默认为100,官方的解释如下:
Ifmorethanthismanysuccessiveconnectionrequestsfromahostareinterruptedwithoutasuccessfulconnection,theserverblocksthathostfromfurtherconnections.如果某个客户端的连接达到了max_connect_errors的限制,将被禁止访问,并提示以下错误:
Host'host_name'isblockedbecauseofmanyconnectionerrors. Unblockwith'mysqladminflush-hosts'
下面来模拟一下
首先,设置max_connect_errors的值
mysql>showvariableslike'max_connect_errors'; +--------------------+-------+ |Variable_name|Value| +--------------------+-------+ |max_connect_errors|100| +--------------------+-------+ rowinset(0.00sec) mysql>setglobalmax_connect_errors=2; QueryOK,0rowsaffected(0.00sec) mysql>showvariableslike'max_connect_errors'; +--------------------+-------+ |Variable_name|Value| +--------------------+-------+ |max_connect_errors|2| +--------------------+-------+ rowinset(0.00sec)
通过telnet模拟interruptedwithoutasuccessfulconnection。
[root@mysql-slave1~]#telnet192.168.244.1453306 Trying192.168.244.145... Connectedto192.168.244.145. Escapecharacteris'^]'. N 5.6.26-log K]qA1nYT!w|+ZhxF1c#|kmysql_native_password ^] !#08S01GotpacketsoutoforderConnectionclosedbyforeignhost. [root@mysql-slave1~]#telnet192.168.244.1453306 Trying192.168.244.145... Connectedto192.168.244.145. Escapecharacteris'^]'. N Y#>PVB(>!Bl}NKnjIj]sMmysql_native_password ^] !#08S01GotpacketsoutoforderConnectionclosedbyforeignhost. [root@mysql-slave1~]#mysql-h192.168.244.145-uroot-p123456 Warning:Usingapasswordonthecommandlineinterfacecanbeinsecure. ERROR1129(HY000):Host'192.168.244.144'isblockedbecauseofmanyconnectionerrors;unblockwith'mysqladminflush-hosts'
即便后来使用了正确的账号和密码登录,依旧会被阻止。
再来看看host_cache表中的信息,sum_connect_errors为2了。
mysql>selectip,host,host_validated,sum_connect_errors,count_authentication_errorsfromperformance_schema.host_cache; +-----------------+------+----------------+--------------------+-----------------------------+ |ip|host|host_validated|sum_connect_errors|count_authentication_errors| +-----------------+------+----------------+--------------------+-----------------------------+ |192.168.244.144|NULL|YES|2|0| +-----------------+------+----------------+--------------------+-----------------------------+ rowinset(0.00sec)
该阻止会一直生效,直到采取以下操作:
1. mysql>flushhosts;
2. #mysqladminflush-hosts
3. truncatetableperformance_schema.host_cache;
4.或者等待该记录从hostcache中被挤掉。
如果要禁止DNS解析,可设置skip_name_resolve参数,这样,mysql.user表中基于主机名的授权将无法使用,且错误日志中会提示:
[Warning]'user'entry'root@mysql-slave1'ignoredin--skip-name-resolvemode.
这里,通过mysql-slave1访问,将会拒绝访问
[root@mysql-slave1~]#mysql-h192.168.244.145-uroot-p123 Warning:Usingapasswordonthecommandlineinterfacecanbeinsecure. ERROR1045(28000):Accessdeniedforuser'root'@'192.168.244.144'(usingpassword:YES)
hostcache是默认开启的,如果要禁掉,可将host_cache_size设置为0,该参数是个动态参数,可在线修改。
如果要完全禁掉TCP/IP连接,可在MySQL启动时,设置skip-networking参数。
总结:
1.从原理上看,DNS解析一般只针对客户端的第一次连接,客户端数据量比较小的情况下,开销其实不大,完全不必启动skip_name_resolve参数,带来的好处就是,为客户端和多变的IP直接解耦,只需对主机名进行一次授权。
2.在没开启skip_name_resolve情况下,无论是通过#mysql-p123456走socket连接还是#mysql-p123456-h127.0.0.1走TCP连接,显示的用户都是root@localhost。如果要显示root@127.0.0.1,必须开启skip_name_resolve参数。
另,可通过\s查看当前连接使用的是socket还是TCP。
以上这篇关于skip_name_resolve参数的总结分享就是小编分享给大家的全部内容了,希望能给大家一个参考,也希望大家多多支持毛票票。