面试题：MariaDB加固措施之网络安全

Question

在网络层面，MariaDB有哪些安全加固措施来防止外部非法访问？如果要将MariaDB部署在一个面向公网的服务器上，应该如何配置以保障安全，同时又能满足合法业务需求？

Answer 1

网络层面MariaDB安全加固措施防止外部非法访问

1. 绑定地址限制：
   • 在MariaDB配置文件（通常是my.cnf或my.ini）中，通过设置bind-address参数，将其绑定到特定的IP地址，比如仅绑定到服务器的内部IP，而非公网IP，这样外部网络无法直接访问。例如，若服务器内部IP为192.168.1.100 ，则在配置文件中添加bind-address = 192.168.1.100。
2. 防火墙规则：
   • 入站规则：在服务器的防火墙（如iptables或Windows防火墙）中，只允许特定的IP或IP段访问MariaDB的默认端口（通常是3306）。例如，在iptables中，若允许192.168.1.0/24网段访问3306端口，可使用命令iptables -A INPUT -p tcp -s 192.168.1.0/24 --dport 3306 -j ACCEPT，同时拒绝其他所有来源对3306端口的访问，即iptables -A INPUT -p tcp --dport 3306 -j DROP。
   • 出站规则：配置防火墙限制MariaDB服务器对外发起连接，只允许必要的出站连接，以防止恶意程序利用MariaDB服务器作为跳板进行其他网络攻击。
3. SSL/TLS加密：
   • 为MariaDB启用SSL/TLS加密，确保客户端与服务器之间传输的数据加密。首先生成SSL证书和密钥，例如使用OpenSSL命令openssl req -newkey rsa:2048 -days 365 -nodes -keyout private_key.pem -x509 -out server_cert.pem。然后在MariaDB配置文件中配置SSL相关参数，如[mysqld]下添加ssl-ca=/path/to/ca_cert.pem，ssl-cert=/path/to/server_cert.pem，ssl-key=/path/to/private_key.pem，同时客户端连接时也要指定相应的SSL参数，如mysql -h host -u user -p --ssl-ca=/path/to/ca_cert.pem --ssl-cert=/path/to/client_cert.pem --ssl-key=/path/to/client_key.pem。
4. 用户权限控制：
   • 限制用户从外部主机访问。在创建用户时，指定其允许连接的主机。例如，使用SQL语句CREATE USER 'username'@'192.168.1.10' IDENTIFIED BY 'password';，这样只有192.168.1.10这台主机可以使用该用户连接MariaDB，而其他外部主机无法使用此用户连接。同时，只赋予用户必要的权限，如GRANT SELECT, INSERT, UPDATE ON database_name.* TO 'username'@'192.168.1.10';，避免授予过多权限带来安全风险。

MariaDB部署在面向公网服务器上的安全配置及满足合法业务需求

1. 安全配置：
   • 最小化暴露面：
     • 采用反向代理（如Nginx或Apache），将MariaDB隐藏在反向代理之后。反向代理服务器监听公网端口，而MariaDB只监听本地回环地址（127.0.0.1）。例如，在Nginx配置中设置反向代理规则，将特定的请求转发到本地运行的MariaDB服务器。
     • 禁用不必要的MariaDB功能和服务，如关闭远程管理功能（如--skip-networking参数，虽然可能不完全适用于面向公网的场景，但可结合其他配置减少暴露面），避免开启一些可能存在安全风险的插件或特性。
   • 强身份验证：
     • 使用强密码策略，要求用户设置复杂的密码，并且定期更新密码。可以通过ALTER USER 'username'@'host' IDENTIFIED BY 'new_password';命令更新用户密码。
     • 考虑使用多因素身份验证（MFA），虽然MariaDB原生不直接支持，但可以结合外部工具或通过编写自定义脚本来实现。例如，通过PAM（Pluggable Authentication Modules）模块实现与外部认证服务（如LDAP结合MFA）的集成。
   • 监控与审计：
     • 启用MariaDB的日志功能，包括查询日志、慢查询日志和错误日志等。在配置文件中设置general_log = 1开启查询日志，slow_query_log = 1开启慢查询日志，并设置合适的日志文件路径和其他相关参数。通过分析这些日志，可以及时发现异常的访问和操作。
     • 部署入侵检测系统（IDS）或入侵防范系统（IPS），实时监控对MariaDB的网络流量，检测并阻止异常的访问行为。例如，使用Snort等开源IDS工具，并针对MariaDB的常见攻击模式配置规则。
2. 满足合法业务需求：
   • 性能优化：
     • 配置合适的缓存机制，如InnoDB缓冲池大小。在my.cnf中设置innodb_buffer_pool_size参数，根据服务器内存情况合理分配，以提高查询性能。例如，如果服务器有8GB内存，可设置innodb_buffer_pool_size = 4G。
     • 进行查询优化，分析业务中的SQL查询，使用索引来加速查询。可以通过EXPLAIN关键字分析查询计划，找出性能瓶颈并添加合适的索引。例如，对于SELECT * FROM table_name WHERE column_name = 'value';查询，如果column_name没有索引，可以使用CREATE INDEX index_name ON table_name(column_name);创建索引。
   • 高可用性：
     • 采用主从复制架构，将主服务器部署在面向公网的服务器上，从服务器部署在内部网络或其他安全环境中。主服务器处理写操作，从服务器复制主服务器的数据并处理读操作，提高系统的可用性和读写性能。通过在主服务器配置文件中设置log - bin = /var/log/mysql/mysql - bin.log开启二进制日志，在从服务器配置文件中设置server - id = 2（不同的服务器ID），然后使用CHANGE MASTER TO语句配置从服务器连接到主服务器。
     • 考虑使用负载均衡器（如HAProxy），将读请求均匀分配到多个从服务器上，进一步提高系统的并发处理能力，同时保证合法业务的高可用性。