安全的MySQL复制；SSL还是SSH隧道？

Question

我在两个服务器之间设置了主-主MySQL复制设置。我要把一个搬到另一个地方，所以复制将通过互联网，当然，需要安全。

据我所知，我基本上有两个选择：

1. 在MySQL复制中使用内置SSL支持。
2. 使用SSH隧道转发用于复制的端口。

选择一个而不是另一个有显著的安全性、性能或维护好处吗？

下面的输出让我觉得我根本不能使用选项1。然而，我仍然想知道每一种方法的优缺点。

编辑:我看得更远了，而且我确实有ssl支持。现在只是残废。

mysql> SHOW VARIABLES LIKE '%ssl%';
+---------------+----------+
| Variable_name | Value    |
+---------------+----------+
| have_openssl  | DISABLED |
| have_ssl      | DISABLED |
| ssl_ca        |          |
| ssl_capath    |          |
| ssl_cert      |          |
| ssl_cipher    |          |
| ssl_key       |          |
+---------------+----------+
7 rows in set (0.00 sec)

谢谢你的帮助/建议。

Answer 1

我更喜欢SSL复制。

我发现使用内置功能通常比尝试在独立的安全层(例如SSH)中嫁接更干净。您定制的越多，您在构建、调试、监视和修复它方面要做的工作就越多，如果第三方(例如邮件列表)不能按预期执行，就越难帮助您。

Answer 2

呃，这个问题没有明确的答案。

使用嵌入的ssl包装器是一种较低的开销方法--但是您可能会用网络I/O将大量的msyql进程捆绑在一起--但只有当您复制到许多其他框和/或内存非常紧张时，这才是真正的问题。通过额外的进程路由通信量会增加很小的延迟--但是如果盒子位于不同的网络中，这就不太可能有意义了。

如果是我，我会比较进程内SSL与完整VPN链接(不一定是基于ssh的)的优点。后者支持的不仅仅是mysql复制(专用网络DNS/LDAP、远程访问、日志记录.)使用NAT的实现(例如，通过ssh/ssl运行ppp )可以快速地重新调整以跨备份路由运行。这种方法还提供了对通信问题的更简单和更一致的诊断。