DbGate 這個(gè)工具很多做后端和運(yùn)維的朋友第一次聽(tīng)到會(huì)誤以為是某種數(shù)據(jù)庫(kù)其實(shí)它是個(gè)開(kāi)源的數(shù)據(jù)庫(kù)管理客戶(hù)端帶 Web 界面能把 MySQL、PostgreSQL、SQL Server、SQLite、MongoDB 這些連接統(tǒng)一收在一個(gè)瀏覽器頁(yè)面里管。這次要聊的事情很具體在 Linux 機(jī)器上把 DbGate 跑起來(lái)讓它在本地提供 Web 管理入口再借助內(nèi)網(wǎng)端口映射與遠(yuǎn)程端口轉(zhuǎn)發(fā)讓在外網(wǎng)環(huán)境下的自己也能打開(kāi)這個(gè)面板查看數(shù)據(jù)。適合的人群挺明確——手上有多臺(tái)內(nèi)網(wǎng)服務(wù)器、經(jīng)常要臨時(shí)查庫(kù)改數(shù)據(jù)、又不想在每臺(tái)電腦上裝一堆客戶(hù)端的開(kāi)發(fā)者以及喜歡自建服務(wù)、家里放著 NAS 或小主機(jī)的折騰黨。整套東西不算復(fù)雜但坑不少尤其是鏈路通了卻打不開(kāi)頁(yè)面、頁(yè)面開(kāi)了卻連不上庫(kù)這兩類(lèi)問(wèn)題下面會(huì)一個(gè)個(gè)拆開(kāi)講。1. 先把需求想清楚為什么是本地 DbGate 加遠(yuǎn)程訪問(wèn)1.1 DbGate 到底是數(shù)據(jù)庫(kù)還是數(shù)據(jù)庫(kù)面板先把最容易混淆的概念掰正。DbGate 不是數(shù)據(jù)庫(kù)它本身不存業(yè)務(wù)數(shù)據(jù)它是一層管理和查詢(xún)界面底層還是要去連真正的 MySQL、PostgreSQL 之類(lèi)的實(shí)例。之所以要強(qiáng)調(diào)這一點(diǎn)是因?yàn)槲乙?jiàn)過(guò)不少人照著教程裝完 DbGate發(fā)現(xiàn)里面空空如也就以為裝壞了實(shí)際上是還沒(méi)在里面添加數(shù)據(jù)庫(kù)連接。DbGate 的價(jià)值在于把多種數(shù)據(jù)庫(kù)的連接配置、SQL 編輯器、表結(jié)構(gòu)瀏覽、數(shù)據(jù)導(dǎo)入導(dǎo)出集中到一個(gè)界面里而且它提供 Web 形態(tài)瀏覽器打開(kāi)就能用不用在每臺(tái)工作機(jī)上裝客戶(hù)端。對(duì)于經(jīng)常在多臺(tái)機(jī)器之間切換、或者臨時(shí)借用別人電腦處理緊急問(wèn)題的人來(lái)說(shuō)這個(gè)特性非常實(shí)用。它支持 Docker 部署鏡像體積不大一臺(tái) 1 核 1G 的小機(jī)器就能跑起來(lái)資源占用比想象中低。1.2 幾種常見(jiàn)方案放在一起對(duì)比在選擇具體做法之前值得把幾條路擺在一起看看因?yàn)椴煌某霭l(fā)點(diǎn)會(huì)導(dǎo)向完全不同的方案。下面這張表是我在實(shí)際項(xiàng)目里反復(fù)權(quán)衡后整理出來(lái)的參數(shù)以常見(jiàn)配置為準(zhǔn)具體還要按自己的環(huán)境微調(diào)方案部署位置優(yōu)點(diǎn)明顯短板適合場(chǎng)景桌面版 DbGate本機(jī)零配置開(kāi)箱即用換電腦就要重裝重配單機(jī)開(kāi)發(fā)Web 版跑在數(shù)據(jù)庫(kù)同機(jī)內(nèi)網(wǎng)服務(wù)器網(wǎng)絡(luò)路徑最短延遲低面板暴露在業(yè)務(wù)機(jī)上風(fēng)險(xiǎn)集中小型內(nèi)網(wǎng)Web 版單獨(dú)一臺(tái)機(jī)器內(nèi)網(wǎng)獨(dú)立主機(jī)與數(shù)據(jù)庫(kù)隔離權(quán)限好控制多一層網(wǎng)絡(luò)跳轉(zhuǎn)團(tuán)隊(duì)共用本地 Web 版 端口映射本地/家中主機(jī)數(shù)據(jù)不落外網(wǎng)面板可遠(yuǎn)程訪問(wèn)依賴(lài)中轉(zhuǎn)鏈路可用性個(gè)人遠(yuǎn)程辦公我個(gè)人的選擇基本固定為第四種面板跑在自己控制的一臺(tái)內(nèi)網(wǎng) Linux 機(jī)器上數(shù)據(jù)庫(kù)連接信息只存在這臺(tái)機(jī)器里外部訪問(wèn)通過(guò)端口轉(zhuǎn)發(fā)臨時(shí)打通。這樣做的好處是面板本身不在公網(wǎng)長(zhǎng)期暴露需要的時(shí)候開(kāi)一下用完關(guān)掉攻擊面可控。代價(jià)是要多維護(hù)一條鏈路但這點(diǎn)維護(hù)成本換來(lái)的是心里踏實(shí)我覺(jué)得很劃算。1.3 遠(yuǎn)程訪問(wèn)的邊界必須先說(shuō)清楚在動(dòng)手之前有一句必須講在前面的話這類(lèi)端口映射與遠(yuǎn)程轉(zhuǎn)發(fā)的做法只應(yīng)該用于訪問(wèn)你自己擁有管理權(quán)限的自建服務(wù)比如家里的開(kāi)發(fā)機(jī)、實(shí)驗(yàn)室的內(nèi)網(wǎng)測(cè)試環(huán)境。它解決的是“我在外面想看一眼自己機(jī)器上的面板”這個(gè)需求不是用來(lái)繞過(guò)任何網(wǎng)絡(luò)管理策略的。如果你所在的網(wǎng)絡(luò)環(huán)境對(duì)出站連接有明確管理規(guī)定那就老老實(shí)實(shí)遵守別拿技術(shù)手段去試探邊界。另外把數(shù)據(jù)庫(kù)管理面板暴露到公網(wǎng)本身就是高風(fēng)險(xiǎn)動(dòng)作后面第 4 節(jié)會(huì)專(zhuān)門(mén)講加固務(wù)必別跳過(guò)。我見(jiàn)過(guò)太多案例面板掛上去三天日志里全是來(lái)自各地的掃描請(qǐng)求雖然多數(shù)只是探測(cè)但這種噪音本身就說(shuō)明問(wèn)題。2. Linux 上把 DbGate 跑起來(lái)的完整過(guò)程2.1 系統(tǒng)與資源的最低要求DbGate 的 Web 版對(duì)系統(tǒng)要求不高我實(shí)測(cè)下來(lái)Debian 系和 RHEL 系的常見(jiàn)發(fā)行版都能跑內(nèi)核版本別太老就行。資源方面1 核 CPU、1G 內(nèi)存是能起來(lái)的底線但如果要同時(shí)在里面開(kāi)多個(gè) SQL 編輯標(biāo)簽頁(yè)、加載大表結(jié)構(gòu)建議給到 2G 內(nèi)存否則瀏覽器端操作會(huì)有明顯卡頓。磁盤(pán)空間主要看你要不要在里面做數(shù)據(jù)導(dǎo)出留 10G 以上比較從容。系統(tǒng)層面需要預(yù)裝 Docker 與 Docker Compose這是最省事的方式如果你堅(jiān)持不用容器也可以走 Node 源碼方式跑但依賴(lài)管理會(huì)麻煩不少我不推薦新手走那條路。下面給的是基于容器的流程也是我目前唯一在用的方式。2.2 用一條 docker run 命令先跑通先別急著上編排文件用最簡(jiǎn)單的單條命令驗(yàn)證一下鏡像能正常啟動(dòng)這是排錯(cuò)時(shí)最高效的做法# 拉取鏡像并后臺(tái)啟動(dòng)映射默認(rèn) Web 端口 3000 docker run -d \ --name dbgate \ --restart unless-stopped \ -p 3000:3000 \ -v /opt/dbgate/data:/home/dbgate/.dbgate \ dbgate/dbgate這里有幾個(gè)參數(shù)值得解釋。--restart unless-stopped保證機(jī)器重啟后容器自動(dòng)拉起省得每次手動(dòng)敲命令這個(gè)在長(zhǎng)期運(yùn)行的自建服務(wù)里幾乎是必備項(xiàng)。-v掛載的是容器內(nèi)的數(shù)據(jù)目錄DbGate 會(huì)把連接配置、查詢(xún)歷史、界面偏好都存在這里如果不掛載容器一刪配置全丟我之前就因?yàn)橥祽袥](méi)掛載重裝后手工補(bǔ)了十幾個(gè)數(shù)據(jù)庫(kù)連接那滋味不好受。路徑可以按自己的磁盤(pán)規(guī)劃調(diào)整但要確保宿主目錄存在且容器內(nèi)用戶(hù)有寫(xiě)權(quán)限權(quán)限不對(duì)會(huì)導(dǎo)致啟動(dòng)后數(shù)據(jù)目錄不可寫(xiě)表現(xiàn)是頁(yè)面能開(kāi)但保存連接時(shí)報(bào)錯(cuò)。啟動(dòng)之后用docker ps看一眼狀態(tài)再用瀏覽器訪問(wèn)http://你的內(nèi)網(wǎng)IP:3000。如果頁(yè)面出不來(lái)先用curl -I http://127.0.0.1:3000在本機(jī)驗(yàn)證服務(wù)是否在監(jiān)聽(tīng)這一步能把“服務(wù)沒(méi)起來(lái)”和“網(wǎng)絡(luò)不通”兩種情況區(qū)分開(kāi)是排查的第一刀。2.3 換成 compose 編排把配置固化下來(lái)單條命令適合驗(yàn)證長(zhǎng)期使用我還是會(huì)換成 compose 文件理由很簡(jiǎn)單環(huán)境變量、數(shù)據(jù)卷、端口映射這些配置寫(xiě)進(jìn)文件里換機(jī)器時(shí)復(fù)制一份就能重建不用回憶當(dāng)初敲了什么。下面是我在用的版本可以直接抄version: 3.8 services: dbgate: image: dbgate/dbgate container_name: dbgate restart: unless-stopped ports: - 127.0.0.1:3000:3000 environment: - LOGINadmin - PASSWORD換成你自己的強(qiáng)口令 - CONNECTIONSmysql_main,pg_dev - LABEL_mysql_main業(yè)務(wù)庫(kù) - SERVER_mysql_main192.168.1.20 - PORT_mysql_main3306 - USER_mysql_mainreader - PASSWORD_mysql_main只讀賬號(hào)口令 - ENGINE_mysql_mainmysqldbgate-plugin-mysql - LABEL_pg_dev測(cè)試庫(kù) - SERVER_pg_dev192.168.1.21 - PORT_pg_dev5432 - USER_pg_devdevuser - PASSWORD_pg_dev測(cè)試賬號(hào)口令 - ENGINE_pg_devpostgresdbgate-plugin-postgres volumes: - /opt/dbgate/data:/home/dbgate/.dbgate這里有幾個(gè)關(guān)鍵點(diǎn)需要點(diǎn)出來(lái)。第一端口映射寫(xiě)成127.0.0.1:3000:3000意思是只監(jiān)聽(tīng)本機(jī)回環(huán)地址外部直連壓根連不上必須走后面的轉(zhuǎn)發(fā)鏈路才能訪問(wèn)這是安全設(shè)計(jì)的一部分別圖省事寫(xiě)成0.0.0.0。第二LOGIN和PASSWORD是開(kāi)啟登錄校驗(yàn)的環(huán)境變量不同版本的變量名可能略有差異配置前建議對(duì)一眼官方文檔但思路是一致的——一定要開(kāi)認(rèn)證絕不能裸奔。第三CONNECTIONS里列出的名字要和后面LABEL_、SERVER_、PORT_等前綴拼接的變量名對(duì)得上拼錯(cuò)一個(gè)字母那個(gè)連接就不會(huì)出現(xiàn)在列表里而且不會(huì)有明顯報(bào)錯(cuò)只能靠自己核對(duì)這個(gè)坑我踩過(guò)兩次后來(lái)養(yǎng)成了先只配一個(gè)連接跑通、再批量復(fù)制的習(xí)慣。2.4 首次進(jìn)入面板要做的幾件事容器起來(lái)、頁(yè)面能打開(kāi)之后別急著建連接先把幾個(gè)基礎(chǔ)動(dòng)作完成。第一是確認(rèn)登錄認(rèn)證生效退出瀏覽器再進(jìn)一次如果沒(méi)有提示登錄就能直接看到界面說(shuō)明認(rèn)證變量沒(méi)起作用得回頭檢查拼寫(xiě)或者版本兼容性。第二是添加數(shù)據(jù)庫(kù)連接時(shí)密碼這類(lèi)敏感信息盡量用只有讀權(quán)限的賬號(hào)別圖方便直接上 root這一點(diǎn)后面還會(huì)展開(kāi)。第三是留意面板右上角的風(fēng)味設(shè)置比如查詢(xún)結(jié)果的默認(rèn)行數(shù)限制大表查詢(xún)不設(shè)限制很容易把瀏覽器卡死我一般設(shè)成 1000 行先看需要全量再用導(dǎo)出功能。第四如果打算長(zhǎng)期使用建議把面板的時(shí)區(qū)、語(yǔ)言、默認(rèn)編輯器樣式這些一次性調(diào)好因?yàn)檫@些偏好存在數(shù)據(jù)卷里一旦確定下來(lái)就不用再動(dòng)了。3. 內(nèi)網(wǎng)端口映射的實(shí)現(xiàn)思路與兩種落地方式3.1 為什么家里或內(nèi)網(wǎng)的機(jī)器外面訪問(wèn)不到大部分家庭寬帶和小型辦公網(wǎng)絡(luò)機(jī)器拿到的都是內(nèi)網(wǎng)地址比如192.168.x.x這種它在局域網(wǎng)內(nèi)部互通沒(méi)問(wèn)題但外部世界根本不知道這個(gè)地址的存在。路由器背后通常還有一層網(wǎng)絡(luò)地址轉(zhuǎn)換把內(nèi)網(wǎng)多個(gè)設(shè)備共享一個(gè)出口地址這就導(dǎo)致外部無(wú)法主動(dòng)向內(nèi)的某個(gè)端口發(fā)起連接。這是網(wǎng)絡(luò)結(jié)構(gòu)的客觀結(jié)果不是什么故障。要解決它思路只有一條借助一臺(tái)在公網(wǎng)上能被訪問(wèn)到的中轉(zhuǎn)機(jī)器讓內(nèi)網(wǎng)這臺(tái)主動(dòng)向外建立一條長(zhǎng)連接外部訪問(wèn)先到中轉(zhuǎn)機(jī)再順著這條已經(jīng)建立好的連接回送到內(nèi)網(wǎng)服務(wù)上。這就是端口映射與反向端口轉(zhuǎn)發(fā)的基本原理后面的兩種做法都是這個(gè)思路的不同實(shí)現(xiàn)。打個(gè)生活化的比方內(nèi)網(wǎng)機(jī)器像是一個(gè)沒(méi)有對(duì)外電話的辦公室中轉(zhuǎn)機(jī)是總機(jī)。內(nèi)網(wǎng)機(jī)器主動(dòng)給總機(jī)打個(gè)電話說(shuō)“我在這有事轉(zhuǎn)給我”這通電話一旦保持住外面的人打總機(jī)總機(jī)就知道該轉(zhuǎn)接到哪個(gè)分機(jī)。關(guān)鍵在于“主動(dòng)撥出去”這個(gè)動(dòng)作因?yàn)閮?nèi)網(wǎng)向外發(fā)起連接通常不受限制而外部向內(nèi)發(fā)起連接往往被攔住。3.2 方式一用 SSH 遠(yuǎn)程端口轉(zhuǎn)發(fā)打通如果你手上有一臺(tái)帶公網(wǎng)地址的 Linux 中轉(zhuǎn)機(jī)而且能 SSH 登錄那最輕量的辦法就是直接用 SSH 自帶的遠(yuǎn)程端口轉(zhuǎn)發(fā)不需要裝任何額外軟件。核心命令就一行# 在中轉(zhuǎn)機(jī)上把 18080 端口轉(zhuǎn)發(fā)到本地內(nèi)網(wǎng)的 3000 端口 ssh -N -R 0.0.0.0:18080:127.0.0.1:3000 user你的中轉(zhuǎn)機(jī)地址-R表示遠(yuǎn)程轉(zhuǎn)發(fā)含義是“在中轉(zhuǎn)機(jī)上監(jiān)聽(tīng) 18080收到連接后通過(guò)這條 SSH 連接送回我這邊的 3000 端口”。-N表示不執(zhí)行遠(yuǎn)程命令只做轉(zhuǎn)發(fā)不加這個(gè)參數(shù)會(huì)開(kāi)一個(gè)交互式 shell雖然也能用但不夠干凈。這條命令必須在運(yùn)行 DbGate 的那臺(tái)內(nèi)網(wǎng)機(jī)器上執(zhí)行因?yàn)?27.0.0.1:3000是相對(duì)于執(zhí)行命令的一方來(lái)解析的這個(gè)細(xì)節(jié)搞反了是新手最常見(jiàn)的錯(cuò)誤表現(xiàn)為命令沒(méi)報(bào)錯(cuò)但外面訪問(wèn)中轉(zhuǎn)機(jī) 18080 端口時(shí)連接被拒。還有一個(gè)坑要提前處理中轉(zhuǎn)機(jī)上的 SSH 服務(wù)默認(rèn)可能不允許遠(yuǎn)程轉(zhuǎn)發(fā)綁定到非回環(huán)地址需要檢查配置里是否允許網(wǎng)關(guān)端口否則你在命令里寫(xiě)0.0.0.0也不會(huì)生效只會(huì)綁定在127.0.0.1上。改完之后重啟服務(wù)再試。另外這種命令行方式有個(gè)天然缺陷SSH 連接斷了轉(zhuǎn)發(fā)就沒(méi)了網(wǎng)絡(luò)抖動(dòng)一次就得手動(dòng)重連所以實(shí)際使用我一定會(huì)配合autossh做?；钏茉谶B接斷開(kāi)后自動(dòng)重連配置好之后基本不用管。?；顓?shù)里那個(gè)監(jiān)控端口別設(shè)成和轉(zhuǎn)發(fā)端口一樣否則會(huì)互相干擾。3.3 方式二用開(kāi)源隧道工具做中轉(zhuǎn)映射第二種方式適合沒(méi)有現(xiàn)成公網(wǎng) SSH 環(huán)境、或者想更省心的情況在中轉(zhuǎn)機(jī)上部署一套開(kāi)源的反向隧道服務(wù)端內(nèi)網(wǎng)機(jī)器上跑客戶(hù)端兩邊通過(guò)配置文件約定映射關(guān)系。這類(lèi)工具的原理和上面 SSH 轉(zhuǎn)發(fā)是一樣的只是把?；?、重連、多路復(fù)用這些瑣事封裝好了穩(wěn)定性更好適合長(zhǎng)期掛著。配置大體分兩塊。服務(wù)端這邊要確認(rèn)監(jiān)聽(tīng)端口、認(rèn)證方式、以及允不允許客戶(hù)端自定義映射端口客戶(hù)端這邊寫(xiě)清楚本地服務(wù)的地址和端口指向中轉(zhuǎn)機(jī)的地址和認(rèn)證憑據(jù)。典型的客戶(hù)端配置思路是這樣# 客戶(hù)端配置示意字段名以所選工具文檔為準(zhǔn) server_addr: 你的中轉(zhuǎn)機(jī)地址 server_port: 服務(wù)端監(jiān)聽(tīng)端口 auth_token: 一段足夠長(zhǎng)的隨機(jī)串 tunnels: dbgate: local_addr: 127.0.0.1 local_port: 3000 remote_port: 18080這里auth_token千萬(wàn)別用弱口令或者默認(rèn)值中轉(zhuǎn)機(jī)是公網(wǎng)可達(dá)的認(rèn)證強(qiáng)度直接決定了別人能不能把你的隧道掛上去。我見(jiàn)過(guò)有人圖省事用123456結(jié)果被掃描到之后隧道被別人復(fù)用雖然只跑了幾天沒(méi)造成實(shí)質(zhì)損失但日志里一堆陌生連接看著就頭皮發(fā)麻。另外local_addr寫(xiě)127.0.0.1的前提是 DbGate 和客戶(hù)端在同一臺(tái)機(jī)器上如果分開(kāi)了就要改成實(shí)際內(nèi)網(wǎng)地址并且確保那臺(tái)機(jī)器防火墻放行了對(duì)應(yīng)端口。3.4 域名、端口與訪問(wèn)鏈路的對(duì)齊檢查鏈路打通之后訪問(wèn)地址通常是“中轉(zhuǎn)機(jī)地址 映射端口”的組合比如http://中轉(zhuǎn)機(jī)地址:18080。如果想讓地址好看一點(diǎn)可以給中轉(zhuǎn)機(jī)綁個(gè)域名但這一步涉及域名解析配置需要確保解析記錄指向中轉(zhuǎn)機(jī)且中轉(zhuǎn)機(jī)的網(wǎng)絡(luò)策略允許該端口的入站連接。這里最容易出問(wèn)題的是防火墻中轉(zhuǎn)機(jī)上的系統(tǒng)防火墻、以及云服務(wù)商側(cè)的安全組策略?xún)商幎家判杏成涠丝谥桓囊惶幨峭絼诘?。我的排查順序固定為先在中轉(zhuǎn)機(jī)上curl -I http://127.0.0.1:18080看服務(wù)端有沒(méi)有活再?gòu)牧硪慌_(tái)外網(wǎng)機(jī)器訪問(wèn)逐段定位。這個(gè)順序能快速判斷問(wèn)題出在轉(zhuǎn)發(fā)鏈路本身還是外圍網(wǎng)絡(luò)策略上。4. 安全加固別把數(shù)據(jù)庫(kù)面板變成公共入口4.1 認(rèn)證、端口與暴露面控制把面板映射到公網(wǎng)等于給數(shù)據(jù)庫(kù)開(kāi)了一扇窗加固必須同步做不能等出了問(wèn)題再補(bǔ)。第一層是面板自身的登錄認(rèn)證前面已經(jīng)強(qiáng)調(diào)過(guò)務(wù)必開(kāi)啟并且使用足夠復(fù)雜的口令長(zhǎng)度建議 16 位以上包含大小寫(xiě)、數(shù)字和符號(hào)。第二層是端口策略映射用的對(duì)外端口不要選 3000、8080 這類(lèi)掃描器重點(diǎn)關(guān)照的常見(jiàn)端口換一個(gè)高位隨機(jī)端口能過(guò)濾掉大量無(wú)差別探測(cè)雖然這不是真正的安全措施但能顯著減少噪音。第三層是訪問(wèn)來(lái)源限制如果你的外網(wǎng)出口地址相對(duì)固定可以在中轉(zhuǎn)機(jī)上做來(lái)源地址白名單只允許自己的地址訪問(wèn)映射端口這一招的效果比改端口強(qiáng)得多。第四層也是最容易被忽略的鏈路用完就關(guān)臨時(shí)排查問(wèn)題沒(méi)必要讓它 7×24 小時(shí)掛著。4.2 數(shù)據(jù)庫(kù)賬號(hào)的最小權(quán)限原則這一條比面板加固更重要因?yàn)樗鼪Q定了“萬(wàn)一被突破損失有多大”。在 DbGate 里添加連接時(shí)盡量用專(zhuān)門(mén)為查詢(xún)場(chǎng)景創(chuàng)建的賬號(hào)只授予目標(biāo)庫(kù)的讀取權(quán)限需要改數(shù)據(jù)時(shí)再單獨(dú)開(kāi)一個(gè)受限賬號(hào)而不是直接拿業(yè)務(wù)主賬號(hào)或者管理賬號(hào)往上連。我自己的習(xí)慣是給每個(gè)用途建一個(gè)獨(dú)立賬號(hào)日常查數(shù)據(jù)一個(gè)只讀賬號(hào)改配置一個(gè)限定表范圍的賬號(hào)兩個(gè)絕不混用。這樣即使面板憑據(jù)泄露攻擊者能拿到的也只是只讀視圖破壞面被限制住了。另外 DbGate 里保存的連接口令是存在數(shù)據(jù)卷里的那臺(tái)機(jī)器的訪問(wèn)權(quán)限本身也要管好別讓不相干的人能登進(jìn)去翻文件。4.3 日志留痕與異常發(fā)現(xiàn)加固做完不等于萬(wàn)事大吉還得有發(fā)現(xiàn)問(wèn)題的能力。中轉(zhuǎn)機(jī)上的連接日志要留意正常使用時(shí)的連接來(lái)源相對(duì)固定如果出現(xiàn)大量陌生地址的探測(cè)記錄說(shuō)明端口已經(jīng)被掃到了這時(shí)候要么收緊白名單要么直接換端口。DbGate 自身也會(huì)記錄操作歷史定期看一眼有沒(méi)有非自己發(fā)起的查詢(xún)這個(gè)習(xí)慣在多人共用的環(huán)境里尤其重要。我的做法是每周掃一眼日志發(fā)現(xiàn)異常來(lái)源就加進(jìn)攔截列表成本很低但很有效。另外提醒一句這些日志本身也別亂丟保留一段時(shí)間萬(wàn)一真出事它是唯一能還原過(guò)程的依據(jù)。5. 常見(jiàn)問(wèn)題與排查速查表5.1 頁(yè)面打不開(kāi)的三類(lèi)原因鏈路問(wèn)題基本可以歸為三類(lèi)按下面這個(gè)順序查效率最高。第一類(lèi)DbGate 服務(wù)本身沒(méi)起來(lái)表現(xiàn)為內(nèi)網(wǎng)直連127.0.0.1:3000也不通這時(shí)候看容器日志多半是數(shù)據(jù)卷權(quán)限或者端口沖突。第二類(lèi)轉(zhuǎn)發(fā)鏈路沒(méi)建立表現(xiàn)為內(nèi)網(wǎng)能訪問(wèn)但走映射地址不通這時(shí)候在中轉(zhuǎn)機(jī)上驗(yàn)證映射端口有沒(méi)有被監(jiān)聽(tīng)再看客戶(hù)端或 SSH 會(huì)話是否還活著。第三類(lèi)外圍策略攔截表現(xiàn)為中轉(zhuǎn)機(jī)本機(jī)訪問(wèn)映射端口正常但從外部機(jī)器訪問(wèn)超時(shí)基本可以鎖定是防火墻或安全組沒(méi)放行?，F(xiàn)象最可能原因快速驗(yàn)證方式內(nèi)網(wǎng)本機(jī)都打不開(kāi)頁(yè)面容器未啟動(dòng)或端口沖突docker logs dbgate查看報(bào)錯(cuò)內(nèi)網(wǎng)通、映射地址不通轉(zhuǎn)發(fā)會(huì)話斷開(kāi)或未綁定對(duì)外地址中轉(zhuǎn)機(jī)上檢查端口監(jiān)聽(tīng)狀態(tài)中轉(zhuǎn)機(jī)本機(jī)通、外網(wǎng)不通防火墻或安全組未放行換一臺(tái)外網(wǎng)機(jī)器做對(duì)比訪問(wèn)頁(yè)面能開(kāi)但登錄后白屏瀏覽器緩存或前端資源加載失敗無(wú)痕窗口重試、查看網(wǎng)絡(luò)請(qǐng)求5.2 連接上數(shù)據(jù)庫(kù)卻查詢(xún)報(bào)錯(cuò)面板通了不代表數(shù)據(jù)庫(kù)通了這類(lèi)問(wèn)題跟映射鏈路無(wú)關(guān)純粹是連接配置的事。最常見(jiàn)的是主機(jī)地址填錯(cuò)尤其在容器里跑 DbGate 的時(shí)候容器內(nèi)的127.0.0.1指的是容器自己不是宿主機(jī)要連宿主機(jī)的數(shù)據(jù)庫(kù)得用宿主機(jī)內(nèi)網(wǎng)地址或者特殊的網(wǎng)關(guān)地址。其次是賬號(hào)權(quán)限連接成功但查詢(xún)某張表報(bào)拒絕說(shuō)明賬號(hào)對(duì)該庫(kù)沒(méi)有授權(quán)需要回去補(bǔ)權(quán)限。第三是字符集問(wèn)題某些老版本數(shù)據(jù)庫(kù)默認(rèn)字符集不一致查詢(xún)中文會(huì)出亂碼這個(gè)在連接配置里指定一下字符集就能解決。還有一種情況是連接池被占滿(mǎn)表現(xiàn)是間歇性超時(shí)適當(dāng)調(diào)小 DbGate 并發(fā)查詢(xún)數(shù)或者給數(shù)據(jù)庫(kù)放寬連接上限即可。5.3 幾條踩過(guò)之后才記住的實(shí)際經(jīng)驗(yàn)最后分享幾條文檔里不會(huì)寫(xiě)、但實(shí)際用起來(lái)很關(guān)鍵的經(jīng)驗(yàn)。第一條先在純內(nèi)網(wǎng)環(huán)境把 DbGate 和數(shù)據(jù)庫(kù)連接全部調(diào)通確認(rèn)能正常查詢(xún)之后再動(dòng)手做映射順序反了會(huì)把兩類(lèi)問(wèn)題攪在一起排查成本翻倍。第二條映射端口和 DbGate 的監(jiān)聽(tīng)端口不要設(shè)成同一個(gè)數(shù)字雖然理論上不沖突但在排查時(shí)容易自己把自己繞暈。第三條數(shù)據(jù)卷的備份比想象中重要那里面存著所有連接配置我現(xiàn)在的做法是每周打包一次丟到另一臺(tái)機(jī)器上成本幾秒鐘省過(guò)大事。第四條如果映射鏈路經(jīng)常斷先別懷疑工具去看看中轉(zhuǎn)機(jī)的網(wǎng)絡(luò)質(zhì)量或者家寬出口是不是在頻繁重?fù)芎芏鄷r(shí)候問(wèn)題出在底層鏈路而不是配置。第五條任何一次配置變更之后都從外部完整走一遍訪問(wèn)流程再收工別只驗(yàn)證一半就離開(kāi)我有過(guò)一次改完防火墻只測(cè)了本機(jī)就收手第二天在外面死活連不上白白浪費(fèi)一個(gè)上午。