通过防火墙限制访问IP可有效提升MySQL安全性，具体包括：1. 使用iptables或firewalld仅允许可信IP访问3306端口；2. 配置bind-address为内网或本地地址避免公网暴露；3. 结合云平台安全组实现双重防护。
保护 MySQL 数据库的安全，不能只依赖数据库自身的权限管理，还需要结合系统层面的防火墙策略来限制访问来源。通过合理配置防火墙，可以有效防止未经授权的 IP 访问 MySQL 服务，降低被攻击或数据泄露的风险。
1. 使用防火墙限制访问 IP
MySQL 默认使用 3306 端口进行通信。最基础的安全措施是仅允许特定 IP 或 IP 段连接数据库服务器。
以 Linux 系统常用的 iptables 为例：
- 允许特定 IP 访问 MySQL（例如 192.168.1.100）：
iptables -A INPUT -p tcp -s 192.168.1.100 --dport 3306 -j ACCEPT - 拒绝其他所有 IP 访问 3306 端口：
iptables -A INPUT -p tcp --dport 3306 -j DROP
这样只有来自指定 IP 的请求才能连接 MySQL，其余全部被拦截。
2. 使用 firewalld（CentOS/RHEL 系统）
现代 Linux 发行版常用 firewalld 替代 iptables，操作更直观。
- 添加允许的 IP 和端口：
firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.1.100" port protocol="tcp" port="3306" accept' - 重新加载规则：
firewall-cmd --reload
这种方式可精确控制哪些客户端能连接数据库，适合企业内网环境。
3. 避免 MySQL 暴露在公网
生产环境中，MySQL 不应直接绑定到公网 IP 或 0.0.0.0。建议：
- 修改 MySQL 配置文件（my.cnf 或 my.ini），设置 bind-address 为内网 IP 或 127.0.0.1：
bind-address = 127.0.0.1或bind-address = 192.168.1.10 - 重启 MySQL 服务使配置生效。
这样即使防火墙失效，外部也无法直接扫描到 MySQL 端口。
4. 结合云服务商安全组策略
如果使用阿里云、腾讯云、AWS 等云服务器，还需配置安全组规则：
- 入方向规则中，只允许应用服务器的私有 IP 访问 3306 端口。
- 禁止公网 IP 直接访问数据库实例。
- 必要时可通过 SSH 隧道或跳板机间接访问。
安全组是第一道防线，配合本地防火墙实现双重防护。
基本上就这些。合理使用防火墙规则，能大幅提升 MySQL 的安全性。关键是控制访问源、关闭不必要的暴露，并定期检查规则是否生效。
