安全（3）

问题 1 xtrabackup 实现mysql全量备份+增量备份
全备命令：xtrabackup --defaults-file=/etc/my.cnf --backup --user=bkpuser --password=123456 --socket=/data/mysqldata/mysql.sock --compress --compress-thread --parallel=4 --throttle=400 --target-dir=/data/mysqlbackup/full
参数 说明
–defaults-file mysql配置文件全路径
–backup 表示备份操作
–user 有权限的备份用户
–password 备份用户密码
–socket mysql的lock文件
–compress 使用qpress压缩数据文件，文件后缀.qp
–compress-thread 压缩文件线程数（不清楚就不写该参数，使用默认的)
–parallel 并发数（不清楚就不写该参数，使用默认的）
–throttle 每秒IO操作的次数（不清楚就不写该参数，使用默认的）
–target-dir 备份数据目录
增备命令
xtrabackup --defaults-file=/etc/my.cnf --backup --user=bkpuser --password=123456 --socket=/data/mysqldata/mysql.sock --compress --compress-thread --parallel=4 --throttle=400 --target-dir=/data/mysqlbackup/incr --incremental-basedir=/data/mysqlbackup/full
参数说明：
–defaults-file mysql配置文件全路径
–backup 表示备份操作
–user 有权限的备份用户
–password 备份用户密码
–socket mysql的lock文件
–compress 使用qpress压缩数据文件，文件后缀.qp
–compress-thread 压缩文件线程数（不清楚就不写该参数，使用默认的)
–parallel 并发数（不清楚就不写该参数，使用默认的）
–throttle 每秒IO操作的次数（不清楚就不写该参数，使用默认的）
–target-dir 备份数据目录
–incremental-basedir 备份要基于前面哪个基础备份目录
问题2 binglog的备份机制
备份命令
代码如下:
mysqlbinlog --read-from-remote-server --raw --host=192.168.244.145 --port=3306 --user=repl --password=repl --stop-never mysql-bin.000001
解释如下：
–read-from-remote-server：用于备份远程服务器的binlog。如果不指定该选项，则会查找本地的binlog。
–raw：binlog日志会以二进制格式存储在磁盘中，如果不指定该选项，则会以文本形式保存。
–user：复制的MySQL用户，只需要授予REPLICATION SLAVE权限。
–stop-never：mysqlbinlog可以只从远程服务器获取指定的几个binlog，也可将不断生成的binlog保存到本地。指定此选项，代表只要远程服务器不关闭或者连接未断开，mysqlbinlog就会不断的复制远程服务器上的binlog。
mysql-bin.000001：代表从哪个binlog开始复制。
除了以上选项外，还有以下几个选项需要注意：
–stop-never-slave-server-id：在备份远程服务器的binlog时，mysqlbinlog本质上就相当于一个从服务器，该选项就是用来指定从服务器的server-id的。默认为-1。
–to-last-log：代表mysqlbinlog不仅能够获取指定的binlog，还能获取其后生成的binlog，获取完了，才终止。如果指定了–stop-never选项则会隐式打开–to-last-log选项。
–result-file：用于设置远程服务器的binlog，保存到本地的前缀。譬如对于mysql-bin.000001，如果指定–result-file=/test/backup-，则保存到本地后的文件名为/test/backup-mysql-bin.000001。注意：如果将–result-file设置为目录，则一定要带上目录分隔符“/”。譬如–result-file=/test/，而不是–result-file=/test，不然保存到本地的文件名为/testmysql-bin.000001。

问题3 nmap sS的扫描，使用tcp-flags能否封堵这个扫描。
nmap其基本功能有三个，一是探测一组主机是否在线；其次是扫描 主机端口，嗅探所提供的网络服务；还可以推断主机所用的操作系统 。Nmap可用于扫描仅有两个节点的LAN，直至500个节点以上的网络。Nmap 还允许用户定制扫描技巧。通常，一个简单的使用ICMP协议的ping操作可以满足一般需求；也可以深入探测UDP或者TCP端口，直至主机所 使用的操作系统；还可以将所有探测结果记录到各种格式的日志中， 供进一步分析操作。
使用频率最高的扫描选项：SYN扫描,又称为半开放扫描，它不打开一个完全的TCP连接，执行得很快：
nmap -sS 192.168.1.0/24
利用tcp-flags限制nmap扫描
filter表中添加一条规则：
iptable -t filter -l INPUT -s 192.168.116.138 -p tcp -m tcp --dport 22 --tcp-flags ALL SYN -j REJECT
查看filter表中的规则：
iptables --line-numbers -t filter -nvxL INPUT
用nmap扫描工具进行扫描
nmap -sS 192.168.116.100
删除刚才新建的规则
iptables -t filter -D INPUT 1
再次用nmap工具进行扫描
nmap -sS 192.168.116.100