MySQL Host is blocked because of many connection errors 徹底解決：max_connect_errors 原理、臨時調整、永久配置

MySQL Host is blocked because of many connection errors 徹底解決：max_connect_errors 原理、臨時調整、永久配置

錯誤全文：Host 'xxx.xxx.xxx.xxx' is blocked because of many connection errors; unblock with 'mysqladmin flush-hosts'。本質是 MySQL 內建**連線錯誤計數器防暴力破解機制**觸發。本文解析原理、提供臨時/永久解決方案、監控建議與安全最佳實踐。

一、觸發機制原理

• MySQL 為每個客戶端 IP/主機名維護一個**連線錯誤計數器** (內存中)。
• **錯誤類型包含**：密碼錯誤、用戶不存在、權限不足、連線協議錯誤、TLS 握手失敗、max_user_connections 限制等。**成功連線會重置計數器為 0**。
• 當計數器達到系統變數 max_connect_errors 閾值 (預設 **100**)，該 Host 被加入**阻塞列表**，後續連線直接拒絕，不再驗證密碼。
• 阻塞狀態持久至 MySQL 重啟或執行 FLUSH HOSTS / mysqladmin flush-hosts。

二、查看關鍵參數

mysql> SHOW VARIABLES LIKE 'max_connect_errors';
+--------------------+-------+
| Variable_name      | Value |
+--------------------+-------+
| max_connect_errors | 100   |  -- 預設值，極低！
+--------------------+-------+

mysql> SHOW STATUS LIKE 'Aborted_connects';
+------------------+-------+
| Variable_name    | Value |
+------------------+-------+
| Aborted_connects | 1245  |  -- 歷史累積中斷連線數
+------------------+-------+

預設 100 極易誤觸發：自動化腳本重試、應用啟動期密碼輪換、網路抖動、掃描器探測，幾分鐘即達標。

三、臨時解決 (運行時生效，重啟失效)

-- 1. 立即解封被阻塞 Host (需 RELOAD/ADMIN 權限)
FLUSH HOSTS;
-- 或命令列
mysqladmin flush-hosts -u root -p

-- 2. 動態調大閾值 (需 SUPER 權限)
SET GLOBAL max_connect_errors = 1000000;  -- 100萬，足夠緩衝

-- 3. 驗證
SHOW VARIABLES LIKE 'max_connect_errors';

注意：FLUSH HOSTS 會清空**所有** Host 錯誤計數器，不針對單一 IP。

四、永久解決 (配置文件生效，重啟持久)

# 編輯 my.cnf (Linux: /etc/my.cnf 或 /etc/mysql/my.cnf; Windows: my.ini)
vim /etc/my.cnf

[mysqld]
# 設定足夠大的閾值，防止誤封正常客戶端
max_connect_errors = 1000000

# 重啟生效
systemctl restart mysqld

五、安全最佳實踐：不僅是調大數字

調大閾值 ≠ 關閉防護。必須配合以下措施：

1. 應用層指數退避重試：連線失敗等待 1s, 2s, 4s... 避免短時間瘋狂重試觸發計數器。
2. 連線池預熱/健康檢查：啟動階段建立連線池，避免業務高峰期大量新建連線失敗。
3. 密碼輪換協調：修改密碼後，**同步更新所有應用節點配置**，避免舊密碼持續重試被封。
4. 防火牆/安全組前置攔截：已知惡意 IP 在網路層封禁，不讓其觸達 MySQL 消耗計數器。
5. 監控告警：監控 Aborted_connects 增長率、Host_blocked 事件 (需啟用審計日誌/Error Log 解析)。
6. 白名單機制：核心應用服務器 IP 設定防火牆白名單，或 MySQL bind-address 僅綁定內網 IP。

六、排查根因清單 (被封時必查)

七、總結

Host is blocked 是 MySQL 內建的**輕量級防暴力破解**。**臨時解封 FLUSH HOSTS + 永久調大 max_connect_errors=1000000** 是標準操作。但**核心在於消除根因**：應用重試策略、密碼管理、網路穩定、前置防火牆。將閾值調大僅為「購買時間」排查根因，而非「一勞永逸」忽視安全。