![安全地连接到 MySQL - MySQL 的 SSL、Stunnel 和 SSH 隧道](https://linux22.com/image/547135/%E5%AE%89%E5%85%A8%E5%9C%B0%E8%BF%9E%E6%8E%A5%E5%88%B0%20MySQL%20-%20MySQL%20%E7%9A%84%20SSL%E3%80%81Stunnel%20%E5%92%8C%20SSH%20%E9%9A%A7%E9%81%93.png)
我们有一个连接到 MySQL 服务器的 PHP 应用程序,我们希望保护 Web 和应用程序服务器与数据库之间的连接。
在高峰时段,Web 服务器会同时与数据库建立数百个连接,并执行大量小型读写操作。我知道这不是最佳选择,因此正在努力减少并行的数据库连接数量。
我们当前没有打开与数据库的持久连接,尽管我们打算在未来这样做,但我希望独立于此实现这一点。
硬件方面 - MySQL 服务器非常笨重(16 核),Web 服务器也是如此。它们是专用服务器。
我的问题围绕着保护和加密数据库服务器连接的最有效方法。
到目前为止,我的研究表明,主要的性能开销在于设置 SSL 连接 - 一旦 SSL 连接,性能损失就很小。以下是我对每种保护连接的方法的看法:
- MySQL SSL 证书 - 工作原理与普通 SSL 相同。可以使用客户端证书来防止未经授权的连接。与我们现有的设置没有持久连接。仍然必须让 MySQL 在防火墙上的开放端口上进行监听。
- stunnel。设置端口到端口的 SSL 隧道。不必重新配置 MySQL。可以关闭正常的 MySQL 监听端口,以防止恶意的 MySQL 连接尝试。不支持持久连接。未知的性能影响。
- SSH 隧道。在客户端和服务器之间创建 SSH 隧道。无需重新配置 MySQL。可以关闭正常的 MySQL 监听端口,以防止恶意的 MySQL 连接尝试。支持持久连接,但有时会断开。未知的性能影响。
这是我所能得到的。我知道基准测试的局限性——根据我运行它们的经验,很难模拟真实世界的流量。我希望有人能根据他们自己保护 MySQL 的经验提出一些建议?
谢谢
答案1
我会使用 ssh-tunnel 并使用autossh
而不是ssh
。关于性能,我想说的是,SSH 协议是高度可定制的,如果需要,您可以微调您的连接。
但我不希望在建立连接后出现明显的开销。
答案2
通过查看这个基准文章(MySQL 性能博客),您确实应该避免使用 MySQL 的本机 SSL 功能。