单实例ProxySQL对接多MySQL集群适配Teleport的可行性问询

单实例ProxySQL完全支持对接多组MySQL集群，刚好能解决你的临时需求：给Teleport提供SSL连接入口，同时后端对接未启用SSL的MySQL组复制集群，不用修改现有应用客户端的配置。

核心配置要点 #

• 多集群区分与路由

  • 给每组MySQL集群分配独立的hostgroup_id，在mysql_servers表中添加对应集群的节点信息，用hostgroup_id做标识区分
  • 配置mysql_users时，针对Teleport使用的连接用户，设置前端SSL强制开启（ssl=true），后端连接MySQL时禁用SSL（backend_ssl=false）
  • 通过mysql_query_rules或者基于用户/库名的路由规则，把Teleport的请求转发到对应目标集群的hostgroup

• SSL快速配置

  • 在ProxySQL的global_variables中开启mysql-have_ssl=true，并指定SSL证书、密钥的路径（mysql-ssl_cert、mysql-ssl_key、mysql-ssl_ca）
  • 后端MySQL无需做任何SSL配置，ProxySQL会在前端和Teleport建立加密连接，后端以明文和MySQL集群通信

临时方案的注意事项 #

• 因为是给社区人员做数据调试用，严格限制ProxySQL上Teleport用户的权限，只授予SELECT、SHOW等调试必需的权限，避免数据风险
• 单实例ProxySQL在临时调试场景下足够支撑，但要监控其连接数和资源占用，避免成为单点瓶颈
• 后续当现有应用客户端支持SSL后，直接切换为MySQL原生SSL对接Teleport，移除ProxySQL中间层即可

内容的提问来源于stack exchange，提问作者Karthik Gopalaswamy