MySQL在远程访问时非常慢的解决skip-name-resolve
作为MySQL调优的一部分，很多人都推荐开启skip_name_resolve。这个参数是禁止域名解析的（当然，也包括主机名）。很多童鞋会好奇，这背后的原理是什么，什么情况下开启这个参数比较合适。
基于以下原因，MySQL服务端会在内存中维护着一份host信息， 包括三部分：IP，主机名和错误信息。主要用于非本地TCP连接。
1. 通过在第一次建立连接时缓存IP和host name的映射关系，同一主机的后续连接将直接查看host cache，而不用再次进行DNS解析。
2. host cache中同样会包含IP登录失败的错误信息。可根据这些信息，对这些IP进行相应的限制。后面将会具体提到。
host cache的信息可通过performance_schema中host_cache表查看。
那么，IP和host name的映射关系是如何建立的呢？
1. 当有一个新的客户端连接进来时，MySQL Server会为这个IP在host cache中建立一个新的记录，包括IP，主机名和client lookup validation flag，分别对应host_cache表中的IP，HOST和HOST_VALIDATED这三列。第一次建立连接因为只有IP，没有主机名，所以HOST将设置为NULL，HOST_VALIDATED将设置为FALSE。
2. MySQL Server检测HOST_VALIDATED的值，如果为FALSE，它会试图进行DNS解析，如果解析成功，它将更新HOST的值为主机名，并将HOST_VALIDATED值设为TRUE。如果没有解析成功，判断失败的原因是永久的还是临时的，如果是永久的，则HOST的值依旧为NULL，且将HOST_VALIDATED的值设置为TRUE，后续连接不再进行解析，如果该原因是临时的，则HOST_VALIDATED依旧为FALSE，后续连接会再次进行DNS解析。
另，解析成功的标志并不只是通过IP，获取到主机名即可，这只是其中一步，还有一步是通过解析后的主机名来反向解析为IP，判断该IP是否与原IP相同，如果相同，才判断为解析成功，才能更新host cache中的信息。
基于上面的总结，下面谈谈 host cache的优缺点：
缺点：当有一个新的客户端连接进来时，MySQL Server都要建立一个新的记录，如果DNS解析很慢，无疑会影响性能。如果被允许访问的主机很多，也会影响性能，这个与host_cache_size有关，这个参数是5.6.5引入的。5.6.8之前默认是128,5.6.8之后默认是-1,基于max_connections的值动态调整。所以如果被允许访问的主机很多，基于LRU算法，先前建立的连接可能会被挤掉，这些主机重新进来时，会再次进行DNS查询。
优点：通常情况下，主机名是不变的，而IP是多变的。如果一个客户端的IP经常变化，那基于IP的授权将是一个繁琐的过程。因为你很难确定IP什么时候变化。而基于主机名，只需一次授权。而且，基于host cache中的失败信息，可在一定程度上阻止外界的暴力破解攻击。
关于阻止外界的暴力破解攻击，涉及到max_connect_errors参数，默认为100，官方的解释如下：
If more than this many successive connection requests from a host are interrupted without a successful connection, the server blocks that host from further connections.如果某个客户端的连接达到了max_connect_errors的限制，将被禁止访问，并提示以下错误：
Host 'host_name' is blocked because of many connection errors.
Unblock with 'mysqladmin flush-hosts'
下面来模拟一下
首先，设置max_connect_errors的值
|
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
|
mysql> show variables
like
'max_connect_errors'
;
+
--------------------+-------+
| Variable_name | Value |
+
--------------------+-------+
| max_connect_errors | 100 |
+
--------------------+-------+
row
in
set
(0.00 sec)
mysql>
set
global
max_connect_errors=2;
Query OK, 0
rows
affected (0.00 sec)
mysql> show variables
like
'max_connect_errors'
;
+
--------------------+-------+
| Variable_name | Value |
+
--------------------+-------+
| max_connect_errors | 2 |
+
--------------------+-------+
row
in
set
(0.00 sec)
|
通过telnet模拟interrupted without a successful connection。
|
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
|
[root@mysql-slave1 ~]# telnet 192.168.244.145 3306
Trying 192.168.244.145...
Connected
to
192.168.244.145.
Escape
character
is
'^]'
.
N
5.6.26-log
K]qA1nYT!w|+ZhxF1c#|kmysql_native_password
^]
!#08S01Got packets
out
of
orderConnection closed
by
foreign
host.
[root@mysql-slave1 ~]# telnet 192.168.244.145 3306
Trying 192.168.244.145...
Connected
to
192.168.244.145.
Escape
character
is
'^]'
.
N
Y#>PVB(>!Bl}NKnjIj]sMmysql_native_password
^]
!#08S01Got packets
out
of
orderConnection closed
by
foreign
host.
[root@mysql-slave1 ~]# mysql -h192.168.244.145 -uroot -p123456
Warning: Using a
password
on
the command line interface can be insecure.
ERROR 1129 (HY000): Host
'192.168.244.144'
is
blocked because
of
many
connection
errors; unblock
with
'mysqladmin flush-hosts'
|
即便后来使用了正确的账号和密码登录，依旧会被阻止。
再来看看host_cache表中的信息，sum_connect_errors为2了。
|
1
2
3
4
5
6
7
|
mysql>
select
ip,host,host_validated,sum_connect_errors,count_authentication_errors
from
performance_schema.host_cache;
+
-----------------+------+----------------+--------------------+-----------------------------+
| ip | host | host_validated | sum_connect_errors | count_authentication_errors |
+
-----------------+------+----------------+--------------------+-----------------------------+
| 192.168.244.144 |
NULL
| YES | 2 | 0 |
+
-----------------+------+----------------+--------------------+-----------------------------+
row
in
set
(0.00 sec)
|
该阻止会一直生效，直到采取以下操作：
1. mysql> flush hosts;
2. # mysqladmin flush-hosts
3. truncate table performance_schema.host_cache;
4. 或者等待该记录从host cache中被挤掉。
如果要禁止DNS解析，可设置skip_name_resolve参数，这样，mysql.user表中基于主机名的授权将无法使用，且错误日志中会提示：
|
1
|
[Warning]
'user'
entry
'root@mysql-slave1'
ignored
in
--skip-name-resolve mode.
|
这里，通过mysql-slave1访问，将会拒绝访问
|
1
2
3
|
[root@mysql-slave1 ~]# mysql -h192.168.244.145 -uroot -p123
Warning: Using a
password
on
the command line interface can be insecure.
ERROR 1045 (28000): Access denied
for
user
'root'
@
'192.168.244.144'
(using
password
: YES)
|
host cache是默认开启的，如果要禁掉，可将host_cache_size设置为0，该参数是个动态参数，可在线修改。
如果要完全禁掉TCP/IP连接,可在MySQL启动时，设置skip-networking参数。
总结：
1. 从原理上看，DNS解析一般只针对客户端的第一次连接，客户端数据量比较小的情况下，开销其实不大，完全不必启动skip_name_resolve参数，带来的好处就是，为客户端和多变的IP直接解耦，只需对主机名进行一次授权。
2. 在没开启skip_name_resolve情况下，无论是通过# mysql -p123456 走socket连接还是# mysql -p123456 -h127.0.0.1走TCP连接，显示的用户都是root@localhost。如果要显示[email protected]，必须开启skip_name_resolve参数。
另，可通过\s查看当前连接使用的是socket还是TCP。
++++++++++++++++++++++++++++++++++++++
skip-name-resolve
选项就能禁用DNS解析，连接速度会快很多。不过，这样的话就不能在MySQL的授权表中使用主机名了而只能用ip格式。
还有权限的问题，当用户设置限制只能访问某个数据库，如果这个数据库被删了，再重建这个指定数据库，限制用户还是不能访问这个数据，大概是删除数据库的时间，把该用户的访问权限也级联删除了，详细可以查看mysql.db的记录
若使用–skip-grant-tables系统将对任何用户的访问不做任何访问控制，但可以用 mysqladmin flush-privileges或mysqladmin reload来开启访问控制;默认情况是show databases语句对所有用户开放。
如果mysql服务器没有开远程帐户，就在my.cnf里面加上skip-grant-tables
排除网络问题。
就MySQL本身而言，问题出在在mysql dns反解析
mysql>show processlist;
| 20681949 | unauthenticated user | 10.10.4.193:52497 | NULL | Connect | | Reading from net | NULL |
| 20681948 | unauthenticated user | 10.10.4.193:52495 | NULL | Connect | | Reading from net | NULL
发现有非常多的 unauthenticated user 尝试做登入使用 mysql 的情況 ，当这种情况无限制发生时就会造成系统十分缓慢。
查阅mysql官方网站得知，这属于官方一个系统上的特殊设定，就把他当成mysql的一个bug算了，不管链接的的方式是经过 hosts 或是 IP 的模式，他都会对 DNS 做反查。mysqld 会尝试去反查 IP -> dns ，由于反查解析过慢，就会无法应付过量的查询。
解决办法：
/usr/local/mysql/bin/mysqld_safe --skip-name-resolve --user=mysql&
加 --skip-name-resolve 这么一个参数就可以，关闭mysql的dns反查功能。
[mysqld]
skip-name-resolve
补充：
做个提醒，增加skip-name-resolve有可能导致账号失效，比如我原先的账号是testuser@localhost，然后其实我使用mysql -h127.0.0.1 -utesture是可以登录的。但是一旦加上了skip-name-resolve，就不能登录的了。需要加上账号[email protected]
++++++++++++++++++++++++++++++++++++++++++++++++
如果你有一个很慢的DNS和许多主机，你可以通过用--skip-name-resolve禁用DNS查找或增加HOST_CACHE_SIZE定义(默认值：128)并重新编译mysqld来提高性能。
你可以用--skip-host-cache选项启动服务器来禁用主机名缓存。要想清除主机名缓存，执行FLUSH HOSTS语句或执行mysqladmin flush-hosts命令。
如果你想要完全禁止TCP/IP连接，用--skip-networking选项启动mysqld。
在设置这个参数的时候一定要注意时机：先用超级管理员将所有的用户创建好，再将权限分配好之后，才设置这个参数生效。