如何建立SSH加密的MySQL复制

原创
安全 数据安全
尽管可以通过编译MySQL使其支持SSL,但许多二进制发行版并未激活该功能。打开一个SQL提示符,然后键入命令“show variables like '%ssl%”。如果“have_ssl”或“have_openssl”被设置为“No”,则很不幸该功能未被激活。幸运的是,我们还有另一种选择来从源代码重新编译。

【51CTO.COM 独家翻译】对数据库管理员来说,MySQL颇多吸引人之处,例如它的免费和开源,以及拥有详尽的文档和内置支持数据复制等。但是安全管理员会迅速指出它的一个缺陷:加密。政府对数据隐私保护的要求极为严格,通过局域网或广域网复制数据都需要加密。

尽管可以通过编译MySQL使其支持SSL,但许多二进制发行版并未激活该功能。打开一个SQL提示符,然后键入命令“show variables like '%ssl%”。如果“have_ssl”或“have_openssl”被设置为“No”,则很不幸该功能未被激活。幸运的是,我们还有另一种选择来从源代码重新编译。安全外壳(SSH)支持数据隧道(data-tunneling),它可以建立一个类似VPN的迷你环境,来提供透明加密。首先,我们将使用一个用户名/密码建立一条SSH隧道。我们将通过使用RSA密钥对远端进行认证。一旦隧道正常运行后,我们将设置数据复制。

建立隧道

SSH隧道使用端口转发技术来连接到从属服务器上的一个TCP端口,在本文示例中该端口是7777,它通过SSH被转发到主MySQL服务器上的TCP端口3306。确保MySQL主服务器端的SSH隧道被激活,默认情况下它一般都处于激活状态。在MySQL从属服务器上,执行以下命令“ssh -f user@master_ip -L 7777:master_ip:3306 -N”。使用主服务器的一个系统用户账号和IP地址分别替换user和master_ip。你可能希望使用一个仅用于数据复制的用户,将其shell设定到/bin/false上。另外你可以使用从服务器上的任何可用端口替换7777。在主数据库端,你将被提示输入用户账号和密码。

现在从MySQL1从服务器上运行“mysql -h 127.0.0.1 -P 7777”,来连接MySQL主服务器。切记不能使用localhost,因为在MySQL中它有别的含义。如果需要,可以在该命令后追加“-u -p”来指定一个MySQL账号和密码。如果你获得一个“permission denied”消息,那么需要检查MySQL主服务器上的授权声明。授权声明应该被捆绑到主计算机的真实IP地址,因为它才是被转发的MySQL1连接的真正源地址。被转发的连接不是来自于localhost或127.0.0.1。

#p#

设置复制

现在隧道已经建好,接下来该设置数据复制了。这个过程与典型的MySQL复制设置完全相同。编辑主服务器上的my.cnf文件,增加以下两行代码:

log-bin=mysql-bin

server-id=1

接下来,创建复制账号。在MySQL中,运行以下查询语句:
CREATE USER 'replicationuser'@'master_ip' IDENTIFIED BY 'replicationpassword';
GRANT REPLICATION SLAVE ON *.* TO 'replicationuser'@'master_ip';

在从属服务器端,将以下代码增加到my.cnf文件中:

server-id = 2

master-host = 127.0.0.1

master-user = replicationuser

master-password = replicationpassword

master-port = 7777

重启主服务器和从服务器上的MySQL服务。对于新创建的复制环境,你可能需要手动拷贝数据库到从服务器上。参考MySQL指南(16.1章节),可以获得创建数据快照和更多复制选项的详细信息。这一切都做完后,检查复制是否生效。分别在主服务器和从服务器上执行一个“select”查询;返回结果应该是相同的。在主服务器上执行insert、update或delete数据,改变“select”返回结果的记录集。等待几秒钟后,重新执行“select”查询。如果复制功能已经生效,主从服务器上得到结果应该仍然是相同的。

你可能希望使用预共享的RSA密钥来取代必须键入密码。通过使用密钥,你可以设置看门狗shell脚本,来确保SSH通道处于激活状态,而且如果该通道失效,它将自动重启。另外,考虑在主服务器上创建一个Cron守护进程,来使用当前的unix时间戳来更新数据表。从服务器可以增加一个检查该值的Cron守护进程。如果它滞后当前时间戳太大,复制功能可能已被破坏,管理员应该收到告警邮件。

明确MySQL复制相关的两点重要事项

关于MySQL复制,有两点重要事项需要记住。首先,其主要目的是灾难恢复和高可用性,而非备份。在主服务器上执行的每一条数据更改语句,都将在从服务器端重复执行。因此如果你无意键入了“DELETE FROM mytables”语句,并忘记了使用WHERE子句来限定范围,那么你的数据将会同时在主服务器和从服务器上丢失。

第二件需要记住的事情是,你能够在从服务器上创建、更新和删除数据。我遇到过有的开发者为了实现高可用性,创建了同时运行在主服务器和从服务器上的应用程序,并更新了一个被复制的表,每次都破坏了复制功能的正常运行。

因此你需要在应用程序中加入检查逻辑,检查它是否是运行在一个未激活的从属系统上,不要向被复制的表写数据。然后在它上面进行开发者单元测试。

——51CTO王文文:首先要说明的是,虽然这篇文章所用的是SSH技术,但本人还是推荐用SSL来加密MySQL复制。另外关于原文作者提醒的第二个问题就是,如果开发人员坚持想要连入从服务器测试,那推荐使用主主的双向复制。单向复制的话效率高,而双向复制则有它自己的好处。

原文链接:
http://www.networkcomputing.com/servers-storage/how-to-set-up-ssh-encrypted-mysql-replication.php

原文作者:Michael J. DeMaria

【51CTO.COM 独家翻译,转载请注明出处及作者!】

【编辑推荐】

  1. 如何在PureFTPd中集成ClamAV
  2. 51CTO安全频道SSH技术文章集合
  3. 从虚拟化和云计算解析IT安全的两大疑惑
  4. 虚拟化安全焦点:四问虚拟防火墙
责任编辑:王文文 来源: 51CTO.com
相关推荐

2010-05-12 14:38:13

2020-09-10 14:58:47

加密货币OTC市商

2011-09-05 13:29:06

Ubuntu加密文件存储TrueCrypt

2013-05-03 09:44:52

2011-03-03 10:00:14

ProFTPD建立MySQL

2010-05-31 12:31:42

MySQL建立索引

2013-12-25 10:32:41

MySQL性能测试

2023-10-26 14:23:26

2012-05-13 16:04:28

小米

2020-09-16 10:59:44

AI人工智能AI系统

2011-11-15 09:14:45

WLAN

2024-03-01 09:57:19

数据库检索项目

2023-05-04 18:45:11

2023-09-13 12:34:23

2010-05-11 18:46:46

MYSQL 外键

2010-10-12 10:04:15

MySQL触发器

2009-04-05 13:20:22

2022-04-14 16:00:51

事件响应流程企业

2021-03-19 11:33:42

MySQL数据库备份

2019-11-24 19:17:06

MySQL异步复制全同步复制
点赞
收藏

51CTO技术栈公众号