MySQLdのネットワーキングをオンにする必要がありますが、オンにするたびに、サーバーはブルートフォースで強制終了されます。一部のユーザーは、パスワード推測スクリプトがサーバー上で攻撃を開始し、ポート3306で接続を開き、ランダムなパスワードを永久に試行します。
これを防ぐにはどうすればよいですか？
SSHの場合、私はdenyhostsを使用しますが、これはうまく機能します。MySQLdでdenyhostsを機能させる方法はありますか？
MySQLが実行されているポートを変更することも検討しましたが、これは理想的ではなく、あっという間に過ぎないソリューションです（新しいポートを発見した場合はどうなりますか？）
誰か他のアイデアはありますか？
異なる場合は、MySQL 5.xをFreeBSD 6.xで実行しています。
回答:
MySQLのdenyhostsのようなソフトウェアパッケージは知りませんが、いくつかの解決策があります。
編集：
あなたのコメントに答えるには、これを試してください：
iptables -A INPUT -p tcp -s 202.54.1.50 --sport 1024:65535 -d 202.54.1.20 --dport 3306 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -p tcp -s 202.54.1.20 --sport 3306 -d 202.54.1.50 --dport 1024
ここで、.20はMySQLであり、.50はリモート接続IPアドレスです。
1：ポートを3306から変更します。セキュリティを向上させるためではなく、サーバーの負荷をかけて誤ったログイン攻撃に対処するためです。
2：SSL証明書を作成し、MySQLサーバーで有効にします（とにかくクライアント/サーバー接続を暗号化する必要があります）
3：1つ以上のクライアント証明書を作成します（すべてのクライアントが証明書を持っている必要があり、クライアントソフトウェアはそれを使用するように構成する必要があります）。クライアントが.Netの場合、クライアント証明書をpkcs12形式に変換する必要がありますが、簡単に実行できます。このガイドを参照してください。
4：MySQLユーザーアカウントをx509クライアント証明書を要求するように設定すると、攻撃者はログイン資格情報とクライアント証明書の両方を必要とします（クライアント証明書にパスワードを設定することもでき、攻撃者もそれを要求する必要があります）。
私が使用し、この証明書とキーファイルを作成するためのガイドを多くのガイドはそこにあります。
私は、クライアントアクセスではなく、管理目的でLinuxボックスへのアクセスにSSH接続のみを使用することを好みます。
安全なホストのみからmysqldポートへのアクセスを許可しないのはなぜですか？
問題の実際の解決策ではありませんが、サーバーを別のポートで実行するだけで解決する場合があります。これらのスキャンボットのほとんどは、おそらく3306をチェックするようにプログラムされています。問題を解決することはできませんが、ポートを変更するだけで、スキャン数が大幅に少なくなる可能性があります。