技术译文 | 使用 TCP Wrappers 保护 MySQL 如何导致服务中断

亲爱的编程学习爱好者，如果你点开了这篇文章，说明你对《技术译文 | 使用 TCP Wrappers 保护 MySQL 如何导致服务中断》很感兴趣。本篇文章就来给大家详细解析一下，主要介绍一下MySQL、数据库，希望所有认真读完的童鞋们，都有实质性的提高。

作者：Ananias Tsalouchidis
翻译：孟维克
原文：https://www.percona.com/blog/...

案例

保护 MySQL 总是一个挑战。有一些通用的最佳实践可用于安装加固，但是您的设置越复杂，就越有可能遇到一些难以排查的故障的问题。

我们最近在研究一个案例，当活跃线程很高，超过一个阈值（但并不总是相同）时，MySQL 开始变得不可用。

在此期间，有许多像下面这样的日志，mysqld 有几秒钟没有响应。

2019-11-27T10:26:03.476282Z 7736563 [Note] Got an error writing communication packets
2019-11-27T10:26:03.476305Z 7736564 [Note] Got an error writing communication packets

"Got an error writing communication packets"是一个很常见的日志消息，它可能由多种原因引起。
（官方文档请参考文末链接）

我们是如何处理此问题并查找根本原因的

首先要做的是远程执行一个简单的循环，以确定这是否是随机发生的，是网络问题还是与 mysqld 本身相关的问题。

[RDBA] percona@monitoring1: ~ $ time for i in {1..100}; \
do mysql -h 10.0.2.14 -Bsse "show status like '%uptime';"; \
done
Uptime 3540
Uptime 3540
Uptime 3540
Uptime 3541
Uptime 3541
Uptime 3541
Uptime 3541
Uptime 3542
Uptime 3542
Uptime 3542
Uptime 3543
Uptime 3543
Uptime 3543
Uptime 3543
Uptime 3543
Uptime 3544
^C

最初想做的是确认客户报告的行为。因此，鉴于所有应用服务器都处于远程位置（因此客户端通过 TCP 链接），想确认是否有远程连接被丢弃（这是由于网络问题？还是处于任何原因导致 MySQL 无响应？）。还想验证是否存在一个场景，即 X 中的一个连接被丢弃或一定时间后连接被丢弃。确认场景通常有助于确认根本原因是什么。执行此远程连接循环的另一个原因是验证此问题是否仅在远程连接时发生还是在本地连接时也出现（稍后将测试本地连接）。
在网络层 troubleshooting，并没有发现任何问题，因此决定使用另外一个循环在本地通过 TCP 链接到 mysqld。这个测试表明 MySQL 确实不可用的（或者至少不能随机访问它）。不幸的是，当时并没有通过套接字测试本地连接。通过套接字连接完全绕过网络层。如果尝试使用套接字进行连接，会立即意识到这实际上不是 MySQL 问题，因为 MySQL 总是可用的（所以在网络级别上有些东西阻塞了连接）。下面是更多的细节。
继续进行 troubleshooting，netstat 显示许多连接处于 TIME_WAIT 状态。TIME_WAIT 表示源端已经关闭了连接。下面是一个在测试环境中使用 netstat 识别 TCP 连接的示例。

[RDBA] percona@db4-atsaloux: ~ $ sudo netstat -a -t
Active Internet connections (servers and established)
Proto Recv-Q Send-Q Local Address           Foreign Address         State
tcp        0      0 0.0.0.0:sunrpc          0.0.0.0:*               LISTEN
tcp        0      0 db4-atsaloux:42000      0.0.0.0:*               LISTEN
tcp        0      0 localhost:domain        0.0.0.0:*               LISTEN
tcp        0      0 0.0.0.0:ssh             0.0.0.0:*               LISTEN
tcp        0      0 0.0.0.0:nrpe            0.0.0.0:*               LISTEN
tcp        0      0 db4-atsaloux:ssh        10.0.2.10:35230         ESTABLISHED
tcp        0     36 db4-atsaloux:ssh        10.0.2.10:39728         ESTABLISHED
tcp        0      0 db4-atsaloux:49154      10.0.2.11:mysql         ESTABLISHED
tcp6       0      0 [::]:mysql              [::]:*                  LISTEN
tcp6       0      0 [::]:sunrpc             [::]:*                  LISTEN
tcp6       0      0 [::]:ssh                [::]:*                  LISTEN
tcp6       0      0 [::]:nrpe               [::]:*                  LISTEN
tcp6       0      0 db4-atsaloux:mysql      10.0.2.10:50950         TIME_WAIT
tcp6       0      0 db4-atsaloux:mysql      10.0.2.10:50964         TIME_WAIT
tcp6       0      0 db4-atsaloux:mysql      10.0.2.10:50938         TIME_WAIT
tcp6       0      0 db4-atsaloux:mysql      10.0.2.10:50940         TIME_WAIT
tcp6       0      0 db4-atsaloux:mysql      10.0.2.10:51010         TIME_WAIT
tcp6       0      0 db4-atsaloux:mysql      10.0.2.10:50994         TIME_WAIT
tcp6       0      0 db4-atsaloux:mysql      10.0.2.10:50986         TIME_WAIT
tcp6       0      0 db4-atsaloux:mysql      10.0.2.10:44110         ESTABLISHED
tcp6       0      0 db4-atsaloux:mysql      10.0.2.10:50984         TIME_WAIT
tcp6       0      0 db4-atsaloux:mysql      10.0.2.10:50978         TIME_WAIT
tcp6       0      0 db4-atsaloux:mysql      10.0.2.10:51030         TIME_WAIT
tcp6       0      0 db4-atsaloux:mysql      10.0.2.10:50954         TIME_WAIT
tcp6       0      0 db4-atsaloux:mysql      10.0.2.10:51032         TIME_WAIT
tcp6       0      0 db4-atsaloux:mysql      10.0.2.10:51042         TIME_WAIT
tcp6       0      0 db4-atsaloux:mysql      10.0.2.10:50996         TIME_WAIT
tcp6       0      0 db4-atsaloux:mysql      10.0.2.10:51046         TIME_WAIT
tcp6       0      0 db4-atsaloux:mysql      10.0.2.10:51000         TIME_WAIT
tcp6       0      0 db4-atsaloux:mysql      10.0.2.10:50942         TIME_WAIT
tcp6       0      0 db4-atsaloux:mysql      10.0.2.10:51004         TIME_WAIT
tcp6       0      0 db4-atsaloux:mysql      10.0.2.10:44108         ESTABLISHED
tcp6       0      0 db4-atsaloux:mysql      10.0.2.10:50992         TIME_WAIT
tcp6       0      0 db4-atsaloux:mysql      10.0.2.10:50988         TIME_WAIT

这让我们认识到，可能已经耗尽了 TCP 层上的 TCP 连接，因为 TCP 会话数量增加了，这些会话一直保持打开状态，直到出现 time_wait 超时。我们在之前写了一篇相关blog（请参考文末链接 ）。这样可以让您很好地了解什么是 "TIME_WAIT" 问题，以及可以采取哪些措施进行补救。
我们最初尝试对端口范围

db4-atsaloux (none)> select @@skip_name_resolve;
+---------------------+
| @@skip_name_resolve |
+---------------------+
|                   1 |
+---------------------+
1 row in set (0.00 sec)

为了进一步调试 MySQL 实际做了什么，我们对 mysqld 进程进行了 strace。

根本原因

我们注意到 mysqld 进程过于频繁地访问 /etc/hosts.allow 和 /etc/hosts.deny 文件。

root@db4-atsaloux:~# strace -e open,read -p$(pidof mysqld)
strace: Process 693 attached
# /etc/hosts.deny: list of hosts that are _not_ allowed to access the system.
read(51, "# /etc/hosts.allow: list of host"..., 4096) = 464
read(51, "", 4096)                      = 0
# /etc/hosts.allow: list of hosts that are allowed to access the system.
read(51, "# /etc/hosts.deny: list of hosts"..., 4096) = 721
read(51, "", 4096)                      = 0
read(51, "# /etc/hosts.allow: list of host"..., 4096) = 464
read(51, "", 4096)                      = 0
read(51, "# /etc/hosts.deny: list of hosts"..., 4096) = 721
read(51, "", 4096)                      = 0
read(51, "# /etc/hosts.allow: list of host"..., 4096) = 464
read(51, "", 4096)                      = 0
read(51, "# /etc/hosts.deny: list of hosts"..., 4096) = 721
read(51, "", 4096)                      = 0
read(51, "# /etc/hosts.allow: list of host"..., 4096) = 464
read(51, "", 4096)                      = 0
read(51, "# /etc/hosts.deny: list of hosts"..., 4096) = 721
read(51, "", 4096)                      = 0
read(51, "# /etc/hosts.allow: list of host"..., 4096) = 464
read(51, "", 4096)                      = 0
read(51, "# /etc/hosts.deny: list of hosts"..., 4096) = 721
read(51, "", 4096)                      = 0
read(51, "# /etc/hosts.allow: list of host"..., 4096) = 464
read(51, "", 4096)                      = 0
read(51, "# /etc/hosts.deny: list of hosts"..., 4096) = 721
read(51, "", 4096)                      = 0
read(51, "# /etc/hosts.allow: list of host"..., 4096) = 464
read(51, "", 4096)                      = 0
read(51, "# /etc/hosts.deny: list of hosts"..., 4096) = 721
read(51, "", 4096)                      = 0
read(51, "# /etc/hosts.allow: list of host"..., 4096) = 464
read(51, "", 4096)                      = 0

如我们所见，一些新的连接需要花费很长的时间来连接 MySQL。mysqld pid 上的 strace 显示频繁地访问 /etc/hosts.allow 和 /etc/hosts.deny。这些文件与 tcp wrappers 直接相关！许多系统管理员认为 TCP wrappers 是过时软件（软件开发已经停止，但是有很多替代方案），但是他们仍然被广泛使用。使用 TCP wrappers 时，必须根据 ACL 检查每个新的连接，并根据此 ACL 决定是否允许远程主机连接到服务。
在 troubleshooting 时发现 DNS 解析与 MySQL 的

[RDBA] percona@db4-atsaloux: ~ $ ldd /usr/sbin/mysqld | grep libwrap
libwrap.so.0 => /lib/x86_64-linux-gnu/libwrap.so.0 (0x00007fa80532c000)

相关文档及博文链接：
《Communication Errors and Aborted Connections》
https://dev.mysql.com/doc/ref...
《Application Cannot Open Another Connection to MySQL》
https://www.percona.com/blog/...;)

理论要掌握，实操不能落！以上关于《技术译文 | 使用 TCP Wrappers 保护 MySQL 如何导致服务中断》的详细介绍，大家都掌握了吧！如果想要继续提升自己的能力，那么就来关注golang学习网公众号吧！