如何在 Linux 中阻止公共端口 (3306) 访问，但允许来自本地网络上其他节点的访问？

Question 1

你没有说你正在使用什么发行版，但我相信你的所有规则都存储在这个文件中：

$ sudo cat /etc/ufw/user.rules

您应该能够重新排列此文件的内容，以便具有 ALLOW 规则的私有 CIDR 排在第一位，而 DENY 规则则作为列表中的最后一项。如果您成功地重新排列了内容，该sudo ufw status命令将显示您的规则，如下所示：

3306                       ALLOW       10.0.0.0/8                
3306                       ALLOW       10.0.0.0/24               
3306                       DENY        Anywhere                  
3306 (v6)                  DENY        Anywhere (v6)

参考

Answer

你没有说你正在使用什么发行版，但我相信你的所有规则都存储在这个文件中：

$ sudo cat /etc/ufw/user.rules

您应该能够重新排列此文件的内容，以便具有 ALLOW 规则的私有 CIDR 排在第一位，而 DENY 规则则作为列表中的最后一项。如果您成功地重新排列了内容，该sudo ufw status命令将显示您的规则，如下所示：

3306                       ALLOW       10.0.0.0/8                
3306                       ALLOW       10.0.0.0/24               
3306                       DENY        Anywhere                  
3306 (v6)                  DENY        Anywhere (v6)

参考

Question 2

防火墙的替代（或补充）策略是遵循没有不必要的服务/配置的黄金法则，因此首先不要让 Mysql 在公共地址中应答。

这里建议的策略是绑定/使Mysql守护进程/服务仅监听私有IP地址。

编辑my.cnf和使用：

bind-address=10.64.30.117

正如您提到的 ip 地址更改一样，您可以将此指令与 /etc/hosts 中定义的主机名一起使用，并在（重新）启动 Mysql 之前更改它。（或者使用它存在的私有 DNS 名称）

然后重新启动Mysql守护进程，设备将不再监听其他IP地址的请求。

PS 作为奖励，这样您就不必担心公共 IP 地址的变化。至于私有 IP 地址的更改，必须通过强制网络设置、使用虚拟 IP 地址或动态更改配置文件来解决。

PPS 这一原则也适用于其他服务，例如 Web 服务器后面的 Tomcat。仅当客户端驻留在同一台机器/VM 中时，您也可以将服务绑定到 localhost

另外，对于处理 IP 地址更改，请参阅相关问题如何处理 ISP 更改的 IP 地址？

Answer