VPS服务器MySQL安全加固：防火墙与权限设置指南

在VPS服务器运维中，MySQL数据库安全是核心环节。数据泄露、恶意篡改等风险时刻存在，通过防火墙规则和用户权限的精细化设置，能为数据库构建双重安全屏障。本文将结合实际操作场景，详细讲解如何通过这两项关键措施加固VPS服务器上的MySQL安全。

防火墙：阻断外部非法访问的首道防线

防火墙是VPS服务器与外部网络间的"智能门卫"，通过预设规则决定是否允许特定IP、端口的访问请求。针对MySQL（默认端口3306），需重点限制仅授权IP可连接，避免暴露公网引发的暴力破解风险。

iptables：经典规则配置（适用于Debian/Ubuntu）

iptables是Linux系统原生的防火墙工具，通过链式规则实现流量管控。操作前建议先备份现有规则：

查看当前规则

iptables -L -n -v

允许指定IP（如192.168.1.100）访问MySQL

iptables -A INPUT -p tcp -s 192.168.1.100 --dport 3306 -j ACCEPT

拒绝其他IP访问MySQL（可选，根据业务需求调整）

iptables -A INPUT -p tcp --dport 3306 -j DROP

保存规则（重启后生效）

iptables-save > /etc/iptables.rules
echo "pre-up iptables-restore < /etc/iptables.rules" >> /etc/network/interfaces

*提示：生产环境建议先添加允许规则，再测试业务连通性，避免误封导致服务中断。*

firewalld：CentOS7+的图形化管理方案

firewalld通过区域（zone）和丰富规则集简化防火墙配置，支持动态调整无需重启服务。针对MySQL的IP限制操作如下：

添加指定IP访问3306端口的永久规则

firewall-cmd --permanent --zone=public --add-rich-rule='rule family="ipv4" source address="10.0.0.20" port protocol="tcp" port="3306" accept'

移除不必要的公网访问规则（默认可能开放3306）

firewall-cmd --permanent --zone=public --remove-service=mysql

重载规则使生效

firewall-cmd --reload

验证规则（查看所有rich规则）

firewall-cmd --zone=public --list-rich-rules

*经验：建议将管理终端IP加入白名单，业务服务器IP按需开放，禁止"0.0.0.0/0"这种全开放配置。*

用户权限：最小化原则下的内部风险管控

即使防火墙拦截了外部攻击，数据库内部权限失控仍可能导致数据泄露。遵循"最小权限原则"，为不同业务角色分配仅需的操作权限，是防御内部越权的关键。

创建专用业务用户

避免直接使用root账户操作MySQL，建议为每个业务模块创建独立用户。例如为前端应用创建查询用户：

-- 创建仅允许从10.0.0.30登录的用户，密码复杂度需包含字母+数字+符号
CREATE USER 'app_reader'@'10.0.0.30' IDENTIFIED BY 'P@ssw0rd_2024';

*注意：用户@后面的IP需与防火墙白名单IP一致，如业务服务器固定则写具体IP，动态则用'%'但需配合防火墙限制。*

细粒度权限分配

根据业务需求授予最小权限，例如：

-- 授予app_reader对test_db库的只读权限
GRANT SELECT ON test_db.* TO 'app_reader'@'10.0.0.30';

-- 授予后台管理用户对log_db库的读写+索引权限
GRANT SELECT, INSERT, UPDATE, DELETE, INDEX ON log_db.* TO 'admin_log'@'10.0.0.40';

-- 刷新权限表使生效
FLUSH PRIVILEGES;

*最佳实践：定期（如每月）执行`SHOW GRANTS FOR '用户名'@'IP'`审计权限，删除冗余的ALL PRIVILEGES授权。*

权限回收与账号清理

当业务调整或用户离职时，需及时回收权限或删除账号：

-- 回收app_reader的DELETE权限（假设之前误授）
REVOKE DELETE ON test_db.* FROM 'app_reader'@'10.0.0.30';

-- 删除不再使用的用户
DROP USER 'old_admin'@'10.0.0.50';

通过防火墙的外部访问限制与用户权限的内部管控，VPS服务器上的MySQL数据库安全将得到显著提升。实际操作中需结合业务场景动态调整：如电商大促期间可临时放宽防火墙规则，关键数据迁移时收紧写入权限。定期进行安全审计（建议每季度一次），才能持续保障数据库的稳定与安全。