Защита репликации MySQL при помощи SSH

mySQL, SSH | Amber | 1 Comment

При репликации данных MySQL порт 3306 остаётся открытым и передаваемые по нему данные не шифруются. При помощи SSH-туннелирования репликация MySQL может выполняться по соединению SSH. Этот метод не требует открывать в брандмауэре дополнительных портов.

Примечание: Весь код, выделенный красным, нужно отредактировать или ввести самостоятельно. Остальное можно просто скопировать и вставить.

В руководстве используются следующие условные данные:

• IP-адрес ведущего сервера (master): 1.1.1.1
• IP-адрес ведомого сервера (slave): 2.2.2.2

Команды, предназначенные для ведущего сервера, отмечены в руководстве словом master, для ведомого сервера – slave.

Прежде чем приступить к выполнению руководства, рекомендуется ознакомиться со статьёй  «Репликация баз данных MySQL по типу Master/Slave»

1: Настройка SSH-туннелирования

Создайте нового пользователя и установите для него пароль. При помощи этого пользователя будет создан SSH-туннель:

(master)
root@mysql-master:~# useradd -d /home/tunneluser -m tunneluser
root@mysql-master:~# passwd tunneluser

Пользователь tunneluser должен иметь доступ только с сервера slave, потому его нужно добавить в файл /etc/ssh/sshd_config

(master)
root@mysql-master:~# nano /etc/ssh/sshd_config

Пользователи, не включенные в этот файл, не буду иметь доступа SSH. Потому в него нужно внести администраторов сервера:

(master)
AllowUsers root alice bob tunneluser@2.2.2.2

Перезапустите SSH:

root@mysql-master:~# service ssh restart

После этого нужно создать SSH-ключ.

Примечание: Подробнее об этом можно прочесть в этом руководстве.

(slave)
[root@mysql-slave ~]# ssh-keygen

Команда вернёт:

[root@mysql-slave ~]# ssh-keygen
Generating public/private rsa key pair.
Enter file in which to save the key (/root/.ssh/id_rsa):
Enter passphrase (empty for no passphrase):
Enter same passphrase again:
Your identification has been saved in /root/.ssh/id_rsa.
Your public key has been saved in /root/.ssh/id_rsa.pub.
The key fingerprint is:
5d:db:9c:50:e8:b2:88:18:de:78:5f:ed:83:14:47:d7 root@mysql-slave
The key's randomart image is:
+--[ RSA 2048]----+
|             ... |
|            o.. E|
|           oo.   |
|    .    .o.o= . |
|   . = .S..*. +  |
|    + + . + .    |
|     . . o o     |
|        . . o    |
|             .   |
+-----------------+

НЕ устанавливайте пароль для ключа: в при его наличии невозможно установить SSH-туннель автоматически.

Скопируйте открытый ключ на master:

(slave)
[root@mysql-slave ~]# ssh-copy-id tunneluser@1.1.1.1

Команда вернет:

[root@mysql-slave ~]# ssh-copy-id tunneluser@1.1.1.1
The authenticity of host '1.1.1.1 (1.1.1.1)' can't be established.
RSA key fingerprint is 3f:33:0c:73:bd:da:51:b9:45:2e:d7:2e:00:47:33:17.
Are you sure you want to continue connecting (yes/no)? yes
Warning: Permanently added '1.1.1.1' (RSA) to the list of known hosts.
tunneluser@1.1.1.1's password:
Now try logging into the machine, with "ssh 'tunneluser@1.1.1.1'", and check in:
~/.ssh/authorized_keys
to make sure we haven't added extra keys that you weren't expecting.

Пользователь tunneluser используется только для туннелирования; он не используется для управления сервером. Потому рекомендуется настроить оболочку nologin и удалить пароль:

(master)
usermod -s /sbin/nologin tunneluser
passwd -d tunneluser

Примечание: Пользователи Debian и Ubuntu должны заменить /sbin/nologin в вышеприведённой команде каталогом /usr/sbin/nologin.

Создайте SSH-туннель:

(slave)
ssh -L 33061:localhost:3306 tunneluser@1.1.1.1 -f -N

После создания туннеля порт 33061 на локальном хосте соединит серверы slave и master по SSH. Флаг –f запускает команду в фоновом режиме, параметр -N значит «Не  выполнять команду» (поскольку пользователь tunneluser использует оболочку nologin).

2: Настройка MySQL

Примечание: Данный раздел содержит только изменения настроек, описанных в руководстве по репликации данных MySQL. Все изменения выделены оранжевым.

Если файл my.cnf был отредактирован для прослушивания внешнего IP, верните прежнюю настройку (localhost).

(master и slave)
root@mysql-master:~# nano /etc/mysql/my.cnf

Отредактируйте строку:

bind-address     = 1.1.1.1

указав IP-адрес локального хоста.

bind-address     = 127.0.0.1

Измените привилегии пользователя сервера slave, разрешив входить только через локальный хост.

(master)
root@mysql-master:~# mysql -u root -p
mysql>GRANT REPLICATION SLAVE ON *.* TO 'slave_user'@'localhost'

Запрос CHANGE MASTER указал на открытый IP-адрес сервера master и не сообщил порт. Создайте новый запрос:

(slave)
root@mysql-slave:~# mysql -u root -p
mysql>STOP SLAVE;
mysql>CHANGE MASTER TO MASTER_HOST='127.0.0.1',MASTER_USER='slave_user', MASTER_PASSWORD='password', MASTER_PORT=33061, MASTER_LOG_FILE='mysql-bin.000001', MASTER_LOG_POS=107;
mysql>START SLAVE;

Подключение может быть проверено при помощи следующей команды:

(slave)
mysql -h 127.0.0.1 -u slave_user -P 33061 -p

Примечание: Не используйте локальный хост с параметром –h, поскольку в результате MySQL создаст локальное подключение через стандартный порт.