MySQL Community Edition如何安全启用远程访问？

Question

常见技术问题： 在MySQL Community Edition中，启用远程访问后常出现“Access denied for user 'xxx'@'xxx.xxx.xxx.xxx' (using password: YES)”错误，或连接被拒绝（ERROR 2003）。根本原因通常包括：① 用户账户未授权远程主机（如仅创建了 'user'@'localhost'）；② MySQL绑定地址仍为默认的127.0.0.1（bind-address=127.0.0.1），未监听公网/指定网卡；③ 防火墙（如iptables、ufw或云平台安全组）未放行3306端口；④ MySQL 8.0+ 默认认证插件caching_sha2_password与旧客户端不兼容；⑤ SELinux处于enforcing模式且未配置mysql_connect_network。这些问题若未系统排查，仅修改配置文件或开放端口，将导致权限失控或暴露高危漏洞，违背“最小权限+纵深防御”安全原则。

Answer 1

```html

一、现象层：典型错误码与表征特征

运维人员首次尝试远程连接 MySQL 时，高频遭遇两类报错：

• ERROR 1045 (28000)：Access denied for user 'admin'@'192.168.10.55' (using password: YES)
• ERROR 2003 (HY000)：Can't connect to MySQL server on '10.20.30.40' (111 "Connection refused")

二者本质不同：前者已建立 TCP 连接但鉴权失败；后者根本未完成三次握手，属网络/服务层阻断。混淆二者将导致排查方向南辕北辙。

二、协议栈分层诊断模型

遵循 OSI 模型自底向上逐层验证（下表为标准化排查路径）：

层级	验证命令	预期结果	失败含义
物理/链路层	ping -c 3 10.20.30.40	ICMP 响应正常	网络不可达或 ICMP 被禁
传输层	nc -zv 10.20.30.40 3306	"succeeded!"	端口未监听/防火墙拦截
应用层	mysql -h 10.20.30.40 -u test -p	成功登录或明确鉴权错误	用户权限/认证插件问题

三、核心根因深度解析与加固实践

以下五类根因需按优先级顺序验证（含安全约束说明）：

1. 账户主机白名单缺失：
   MySQL 用户是 'user'@'host' 的二元组。仅执行 CREATE USER 'app'@'localhost' 无法匹配远程 IP。须显式授权：
   CREATE USER 'app'@'192.168.5.%' IDENTIFIED BY 'StrongPass!2024';
GRANT SELECT ON sales.* TO 'app'@'192.168.5.%'; FLUSH PRIVILEGES;
   ⚠️ 禁止使用 '%' 通配符——违反最小权限原则
2. bind-address 配置僵化：
   默认 bind-address = 127.0.0.1 仅监听回环。生产环境应设为具体内网 IP（如 192.168.5.10）或 0.0.0.0（需配合防火墙严格限制源 IP）。
3. 防火墙策略漏放行：
   Ubuntu：sudo ufw allow from 192.168.5.0/24 to any port 3306
   CentOS：sudo firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.5.0/24" port port="3306" protocol="tcp" accept'

四、MySQL 8.0+ 认证兼容性攻坚

MySQL 8.0 默认启用 caching_sha2_password 插件，但 JDBC 8.0.11 以下、旧版 MySQL Workbench 或 PHP mysqli 扩展可能不支持。验证方式：

SELECT user, host, plugin FROM mysql.user WHERE user = 'app';

兼容性修复方案（二选一）：

• 降级认证插件（临时兼容）：
  ALTER USER 'app'@'192.168.5.%' IDENTIFIED WITH mysql_native_password BY 'StrongPass!2024';
• 升级客户端驱动（长期推荐）：
  JDBC URL 添加参数：?serverTimezone=UTC&allowPublicKeyRetrieval=true&useSSL=false

五、SELinux 与安全上下文管控

在 RHEL/CentOS 系统中，即使网络与权限配置正确，setenforce 1 下仍可能拒绝连接。验证命令：

ausearch -m avc -ts recent | grep mysqld

若输出包含 avc: denied { name_connect } for ... scontext=system_u:system_r:mysqld_t:s0，则需启用网络连接布尔值：

sudo setsebool -P mysqld_connect_network on

或永久修改策略模块（高级场景）：

sudo semanage port -a -t mysqld_port_t -p tcp 3306

六、纵深防御实施检查清单

完成配置后，必须执行以下安全加固动作（非可选）：

• 撤销匿名用户：DROP USER ''@'localhost';
• 禁用 root 远程登录：DELETE FROM mysql.user WHERE User='root' AND Host!='localhost'; FLUSH PRIVILEGES;
• 启用强制 TLS：ALTER USER 'app'@'192.168.5.%' REQUIRE SSL;
• 审计登录失败：SET GLOBAL log_error_verbosity = 3; 并配置 log-error = /var/log/mysql/error.log

七、自动化诊断流程图

graph TD
  A[开始] --> B{ERROR 2003?}
  B -->|是| C[检查 bind-address & 服务状态]
  B -->|否| D[检查 ERROR 1045]
  C --> E[netstat -tlnp | grep :3306]
  E --> F{监听 0.0.0.0:3306?}
  F -->|否| G[修正 my.cnf bind-address]
  F -->|是| H[检查防火墙/安全组]
  D --> I[SELECT user,host,plugin FROM mysql.user]
  I --> J{host 匹配远程IP?}
  J -->|否| K[CREATE USER 'u'@'x.x.x.x']
  J -->|是| L{plugin 兼容?}
  L -->|否| M[ALTER USER ... IDENTIFIED WITH mysql_native_password]

```