使用nginx代理mysql

一、为什么需要代理

1.端口转义

通常看到3306就知道是mysql专用端口,通过转义,客户端只能看到nginx监听的端口,看不出来是代表什么程序和协议,当然也是一种浅层防护方式。

2.防护

内网访问通过内网ip和端口,公网访问通过nginx代理,如果公网访问有风险可以配置,可以基于limit_conn_module 和 limit_req_module模块实现限流和限制客户端连接。并且在极端情况下可以关停代理,断开公网访问,从而不影响mysql实例运行和内网访问。

3.动态负载

在客户端不感知的情况下可以动态替换代理的mysql实例,也可以在集群情况下实现请求负载和路由分发,从而提高服务的可用性。

4.屏蔽真实mysql服务器

通过 Nginx，可以屏蔽 MySQL 服务器的真实 IP 地址，防止攻击者利用暴力破解等方式攻击 MySQL 服务器。

二、如何实现nginx代理mysql

nginx默认代理七层协议,而mysql是四层协议,所以使用http模块无法实现反向代理,需要四层tcp协议模块的支撑。

1.安装nginx四层协议支撑

yum -y install nginx
yum -y install nginx-all-modules.noarch

2.配置mysql代理

server {
    listen 3388;
    proxy_pass host:3306;
}

nginx监听并暴露3388端口,mysql实例端口不对内网开放,nginx将3388端口通过tcp协议转成3306端口。

在nginx主配置文件nginx.conf中添加stream配置:

stream {
        include /etc/nginx/tcp.protocol/*.conf;
}

3.启动测试

nginx -t
nginx

现在只能证明网络和端口通了,但是未必nginx代理的mysql协议没问题,需要使用命令或者客户端工具验证:

三、扩展

1.不止mysql

既然nginx可以支持tcp协议的代理,那么除了代理mysql,同样可以代理redis、nacos以及其他的常用四层协议。 redis:

server {
        listen 6388;
        proxy_pass host:6379;
}

nacos:

server {
        listen 8188;
        proxy_pass host:8848;
}

2.其他类似四层代理

亚马逊NLB

其实简单来讲,对于一些简单场景,NLB提供的代理能力和nginx类似,只不过NLB是一种成熟的产品解决方案,有很多周边产品能力支撑,比如WAF和Shield等。

阿里云NLB

和aws的NLB类似,阿里云SLB产品簇也提供了NLB负载均衡器来支持四层协议代理转发。