**前言：**

當連線資料庫失敗次數過多時，MySQL 是否會限制登入呢？資料庫服務端應該怎麼應對暴力破解呢？本篇文章介紹下 MySQL 中的連線控制外掛，一起來學習下此外掛的作用。

#### 1.連線控制（connection_control）外掛介紹

MySQL 服務端包含一個外掛庫，可以自定義安裝各類外掛。connection_control 外掛也是其中一種，主要用來控制客戶端在登入操作連續失敗一定次數後的響應的延遲。該外掛可有效的防止客戶端暴力登入的風險。該外掛包含以下兩個元件：

- **CONNECTION_CONTROL**：用來控制登入失敗的次數及延遲響應時間。
- **CONNECTION_CONTROL_FAILED_LOGIN_ATTEMPTS**：將登入失敗的操作記錄至 information_schema系統庫中。

連線控制外掛檔案的基本名稱為 connection_control 。每個平臺的檔名字尾有所不同(對於 Unix 和類 Unix 系統為 .so ，對於 Windows 為 .dll )。下面以 Linux 系統為例來安裝下 connection_control 外掛，Windows 系統只需要將 .so 改成 .dll 即可。

```sql
# 動態安裝 connection_control 外掛
mysql> INSTALL PLUGIN CONNECTION_CONTROL SONAME 'connection_control.so';
Query OK, 0 rows affected (0.04 sec)

mysql> INSTALL PLUGIN CONNECTION_CONTROL_FAILED_LOGIN_ATTEMPTS SONAME 'connection_control.so';
Query OK, 0 rows affected (0.01 sec)

# 驗證外掛狀態
mysql> SELECT
    -> PLUGIN_NAME,PLUGIN_STATUS 
    -> FROM
    -> INFORMATION_SCHEMA.PLUGINS 
    -> WHERE
    -> PLUGIN_NAME LIKE 'connection%';
+------------------------------------------+---------------+
| PLUGIN_NAME                              | PLUGIN_STATUS |
+------------------------------------------+---------------+
| CONNECTION_CONTROL                       | ACTIVE        |
| CONNECTION_CONTROL_FAILED_LOGIN_ATTEMPTS | ACTIVE        |
+------------------------------------------+---------------+

# 安裝完成後 可以看到相關係統變數
mysql> show variables like 'connection_control%';
+-------------------------------------------------+------------+
| Variable_name                                   | Value      |
+-------------------------------------------------+------------+
| connection_control_failed_connections_threshold | 3          |
| connection_control_max_connection_delay         | 2147483647 |
| connection_control_min_connection_delay         | 1000       |
+-------------------------------------------------+------------+
```

可以看出，外掛安裝還是很簡單的，不過這個外掛具體有什麼作用呢？我們先來解釋下相關係統變數：

- **connection_control_failed_connections_threshold**：允許帳戶進行的連續失敗嘗試的次數。預設為 3 ，表示當連線失敗 3 次後啟用連線控制，0 表示不開啟。
- **connection_control_max_connection_delay**：超出閾值的連線失敗的最大延遲(以毫秒為單位)，預設 2147483647 毫秒，約 25 天。
- **connection_control_min_connection_delay**：超過閾值的連線失敗的最小延遲(以毫秒為單位)，預設 1000 毫秒，即 1 秒。

至此，你可能明白了 connection_control 外掛的作用，那就是當客戶端連線資料庫連續失敗到達一定次數後，服務端會進行一段時間的響應延遲，連續失敗嘗試的次數越多，響應延遲時間越長。

#### 2.連線控制實驗

我們來具體做下實驗，為了實驗效果，這裡將失敗次數閾值設為 10 ，延遲最小時間設為 1 分鐘，即當連續連線失敗十次後，延遲響應時間最低為 1 分鐘，下面我們故意輸錯密碼來試試看：

mysql> SELECT * FROM information_schema.CONNECTION_CONTROL_FAILED_LOGIN_ATTEMPTS;
Empty set (0.00 sec)

# 故意輸錯密碼
[root@localhost ~]# mysql -utestuser -p123
mysql: [Warning] Using a password on the command line interface can be insecure.
ERROR 1045 (28000): Access denied for user 'testuser'@'localhost' (using password: YES)

正常情況下，輸錯密碼是即刻返回錯誤的，當連續失敗次數達到閾值後，再次進行連線嘗試，則會延遲響應，具體表現就是一直卡著，到延遲結束後才返回錯誤。information_schema 系統庫中的表會記錄登入失敗的使用者名稱及失敗次數，當延遲發生時，從 processlist 中也可以查到正在延遲的連線。若輸入密碼正確，則會取消延遲、重新計數。

於是乎，你應該理解了為什麼此外掛能防止客戶端暴力破解，假設暴力破解每分鐘嘗試 120 次，現在啟用該外掛後，連續失敗一定次數後就會響應延遲，並且隨著失敗次數的增加延遲時間也會增加，原來能立即開始下次破解，現在只能到延遲時間後才能發起下次嘗試，所以能極大降低被暴力破解的風險。

不過啟用連線控制外掛後要注意是否存在延遲的連線，因為正在延遲的連線也是佔用連線數的，可能會引起連線積壓導致連線數不夠用。所以當出現延遲的連線時，應儘快排查到底是那裡在連線，確保密碼輸入正確。

若要啟用此外掛，注意要配置合適的閾值及延遲時間，並記得將這些引數寫入配置檔案。一般等保評測可能會有這項要求，這個時候連線控制外掛會用得上。

MySQL連線控制外掛介紹

相關文章