MySQL，遠程連接和安全

Question

默認情況下，當您打開bind-address以監聽外部消息時，MySQL客戶端與服務器之間的默認通信是不安全的，這意味着任何可以進行MitM攻擊的人都可以查看所做的每筆交易。

有一些選項可以防止這種類型的攻擊（SSH隧道或在MySQL中啟用SSL），但是據我了解，Amazon RDS 默認不會實現任何SSL安全。

所以我想知道，當您創建RDS實例時，是否就像在服務器上安裝MySQL並打開3306端口，還是我丟失了某些東西？

Answer 1

幾點。 首先，適用於mysql的AWS RDS確實支持ssl。 這里討論

http://docs.aws.amazon.com/AmazonRDS/latest/UserGuide/CHAP_MySQL.html#MySQL.Concepts.SSLSupport

其次，在AWS VPC中安排服務器的通常方法是擁有“私有”和“公共”子網。 專用子網路由到其他專用主機，也可能路由到同一VPC中的其他主機。 但是它們沒有彈性IP，也沒有直接訪問Internet網關的權限。 通常將數據庫放在專用子網中，以免暴露其端口

此頁面上有一個漂亮的圖表，顯示了此概念

http://docs.aws.amazon.com/AmazonVPC/latest/UserGuide/VPC_Security.html

最后，AWS RDS存在於共享責任模型的理念之內

這試圖弄清楚AWS服務提供哪些安全性以及客戶應承擔的責任

Answer 2

如果要創建實例，則還必須允許在端點上打開端口3306。 這意味着您還必須配置安全設置，以設置允許該連接使用的IP。 關於SSL安全性或SSH，作為一種好的做法，您應該使用帶有密碼短語的ssh密鑰。