要启用或禁用防火墙，设置mysql_firewall_mode系统变量。默认情况下，这个变量在安装防火墙时启用。要控制初始防火墙状态，可以在服务器启动时设置变量。例如，在选项文件中启用防火墙，使用以下行：

[mysqld]
mysql_firewall_mode=ON

修改完my.cnf后，重新启动服务器以使新设置生效。

或者，在运行时设置并持久化防火墙设置：

SET PERSIST mysql_firewall_mode = OFF;
SET PERSIST mysql_firewall_mode = ON;

SET PERSIST为当前 MySQL 实例设置值。它也将保存该值，使其在服务器重启后继续生效。要更改当前 MySQL 实例的值，但不使其在重启后继续生效，使用GLOBAL关键字，而不是PERSIST。请参阅第15.7.6.1节，“变量赋值语法”。

每次MYSQL_FIREWALL服务器插件初始化时，它从这些表加载数据到其内部缓存：

不重新启动服务器或重新安装服务器端插件，修改外部数据不会在插件内部反映。系统变量mysql_firewall_reload_interval_seconds使得可以强制指定时间间隔重新加载内存缓存。默认情况下，周期性间隔值设置为零，禁用重新加载。

要定期重新加载缓存，首先确保安装并启用scheduler组件（见第7.5.5节，“调度器组件”).检查组件状态：

SHOW VARIABLES LIKE 'component_scheduler%';
+-----------------------------+-------+
| Variable_name               | Value |
+-----------------------------+-------|
| component_scheduler.enabled | On    |
+-----------------------------+-------+

安装了防火墙后，在服务器启动时将mysql_firewall_reload_interval_seconds全局系统变量设置为服务器主机平台INT_MAX宏值的数字之间60和（例如：

$> mysqld [server-options] --mysql-firewall-reload-interval-seconds=40
...
2023-08-31T17:46:35.043468Z 0 [Warning] [MY-015031] [Server] Plugin MYSQL_FIREWALL 
reported: 'Invalid reload interval specified: 40. Valid values are 0 (off) or 
greater than or equal to 60. Adjusting to 60.'
...

或者在启动时将变量名前加PERSIST_ONLY关键字或@@PERSIST_ONLY.限定符来设置并持久化防火墙设置：

SET PERSIST_ONLY mysql_firewall_reload_interval_seconds = 120;
SET @@PERSIST_ONLY.mysql_firewall_reload_interval_seconds = 120;

修改变量后，重新启动服务器以使新设置生效。

安装防火墙后，授予 MySQL 账户或账户以用于管理其的适当权限。权限取决于哪个账户应该被允许执行哪些防火墙操作：

MySQL 服务器允许客户端连接，并从它们接收要执行的 SQL 语句。如果防火墙启用，服务器将每个 incoming 语句传递给它，如果语句不立即失败，则根据防火墙接受或拒绝语句。下面描述了防火墙如何接受或拒绝语句。

Firewall Profiles

防火墙使用一个注册表来确定是否允许语句执行。配置文件具有这些属性：

初始情况下，没有配置文件，所以默认情况下，防火墙接受所有语句，并且对 MySQL 账户执行的语句无效。要应用防火墙保护功能，需要明确操作：

大多数防火墙原则对组配置文件和账户配置文件都相同，两种类型配置文件在以下几个方面不同：

防火墙提供的基于配置保护使得实施以下策略成为可能：

Firewall Statement Matching

防火墙执行语句匹配不使用来自客户端的 SQL 语句，而是将 incoming 语句转换为 normalize 的摘要形式，防火墙操作使用这些摘要。语句 normalize 的好处在于它使得相似语句可以被分组和识别使用单个模式。例如，这些语句彼此不同：

SELECT first_name, last_name FROM customer WHERE customer_id = 1;
select first_name, last_name from customer where customer_id = 99;
SELECT first_name, last_name FROM customer WHERE customer_id = 143;

但是它们都有相同的 normalize 摘要形式：

SELECT `first_name` , `last_name` FROM `customer` WHERE `customer_id` = ?

通过 normalization，防火墙可以将每个客户端发送的语句存储成匹配多种不同的摘要。关于 normalization 和摘要的更多信息，请参阅第29.10节，“性能 Schema 语句摘要和采样”。

Profile Operational Modes

每个注册到防火墙的 profile 都有自己的操作模式，从这些值中选择：

当分配任何前面模式值时，防火墙将存储该模式。防火墙模式设置操作也允许 RESET 模式的值，但是这个值不会被存储：将配置文件设置为 RESET 模式将删除该配置文件的所有规则并将其模式设置为 OFF。

Firewall Statement Handling When Multiple Profiles Apply

为了简洁，后续介绍如何设置配置文件时假设防火墙将客户端的 incoming 语句与单个配置文件进行匹配，但防火墙操作可以更复杂：

以下描述涵盖防火墙操作的总体情况，包括潜在多个配置文件对 incoming 语句的处理：

如前所述，MySQL 将每个客户端会话与特定用户名和主机名组合称为session 账户。防火墙将 session 账户与注册配置文件进行匹配，以确定哪些配置文件适用于处理来自会话的 incoming 语句：

换言之，会话账户可以匹配0或多个活动组配置文件，和0或1个活动账户配置文件。这意味着，对于给定的会话，防火墙将每个语句处理如下：

了解这个描述后，下一节将回到单个组 profile 或单个账户 profile 的情况，并涵盖如何设置每种类型的 profile。

MySQL Enterprise Firewall 支持组 profile 注册。一个组 profile 可以有多个账户作为其成员。要使用防火墙组 profile 保护 MySQL 对于来自给定账户的 incoming 语句，按照以下步骤操作：

遵循这些防火墙相关账户参考指南：

以下过程展示了如何注册一个组-profile到防火墙中，训练防火墙知道该profile的可接受语句（其allowlist），使用profile保护MySQL对不可接受语句的执行，并添加和删除组成员。该示例使用组profile名称为 fwgrp。该示例profile假设用于应用程序客户端访问sakila 数据库（可在https://dev.mysql.com/doc/index-other.html中找到）。

使用管理MySQL账户执行本过程中的步骤，除了那些由防火墙组profile成员账户执行的步骤。为成员账户执行语句时，应该默认数据库为 sakila。（您可以根据需要调整指令。）

防火墙组文件现在已经为成员账户训练了。客户端连接时，使用组中的任何账户尝试执行语句，profile保护MySQL不匹配allowlist的语句。

显示的过程只添加了一名成员到组文件前，提供更好的控制训练期限，可以限制哪些账户可以将新的可接受语句添加到allowlist。需要额外训练，可以切换profile回到RECORDING模式：

CALL mysql.sp_set_firewall_group_mode('fwgrp', 'RECORDING');

然而，这样使得组中的任何成员都可以执行语句并将其添加到白名单中。要限制额外训练到单个组成员，调用 sp_set_firewall_group_mode_and_user()，它类似于 sp_set_firewall_group_mode() 但多了一个参数指定哪个账户允许在 RECORDING 模式下训练配置文件。例如，要使得只由 member4@localhost 域名执行训练，做法如下：

CALL mysql.sp_set_firewall_group_mode_and_user('fwgrp', 'RECORDING', 'member4@localhost');

这样额外训练由指定账户执行，不需要删除其他组成员，但他们可以执行语句，但是语句不添加到白名单中。（记住，在 RECORDING 模式下其他成员可以执行任何 语句。）

训练后将组配置文件设置回 PROTECTING 模式：

CALL mysql.sp_set_firewall_group_mode('fwgrp', 'PROTECTING');

由 sp_set_firewall_group_mode_and_user() 确定的训练账户在组配置文件中保存，所以防火墙记住它，以便后续需要更多训练时使用。因此，如果你调用 sp_set_firewall_group_mode()（没有训练账户参数），当前配置文件训练账户 member4@localhost 不会改变。

如果实际想要使得组中的所有成员都可以在 RECORDING 模式下执行训练，调用 sp_set_firewall_group_mode_and_user() 并将账户参数设置为 NULL：

CALL mysql.sp_set_firewall_group_mode_and_user('fwgrp', 'RECORDING', NULL);

可以通过将非匹配语句记录为可疑行为而不拒绝访问来检测入侵。首先，将组 profile 设置到 DETECTING 模式：

CALL mysql.sp_set_firewall_group_mode('fwgrp', 'DETECTING');

然后，使用成员账户执行不匹配组 profile 允许列表的语句。在 DETECTING 模式下，防火墙允许非匹配语句执行：

mysql> SHOW TABLES LIKE 'customer%';
+------------------------------+
| Tables_in_sakila (customer%) |
+------------------------------+
| customer                     |
| customer_list                |
+------------------------------+

此外，防火墙还将消息写入错误日志：

[Note] Plugin MYSQL_FIREWALL reported:
'SUSPICIOUS STATEMENT from 'member1@localhost'. Reason: No match in allowlist.
Statement: SHOW TABLES LIKE ?'

要禁用组 profile，改变其模式到 OFF：

CALL mysql.sp_set_firewall_group_mode(group, 'OFF');

要忘记所有培训并禁用 profile，重置它：

CALL mysql.sp_set_firewall_group_mode(group, 'RESET');

重置操作会导致防火墙删除该 profile 的所有规则，并将其模式设置为 OFF。

MySQL Enterprise Firewall 允许注册对应于单个账户的 profile。要使用防火墙账户 profile 保护 MySQL 对来自给定账户的 incoming 语句，按照以下步骤操作：

遵循防火墙相关账户参考的这些指南：

以下过程展示了如何注册账户配置文件到防火墙中，训练防火墙了解该配置文件可接受的语句（其白名单），并使用该配置文件保护MySQL对不可接受的语句执行。示例账户fwuser@localhost，假设用于访问sakila数据库（在https://dev.mysql.com/doc/index-other.html可用）.

使用管理MySQL账户执行本过程中的步骤，除了那些由fwuser@localhost账户对应的配置文件注册到防火墙的步骤。对于使用该账户执行语句时，应该默认数据库为sakila（可以根据需要调整）.

现在，防火墙账户配置已经为 fwuser@localhost 账户训练了。客户端使用该账户连接并尝试执行语句时，配置保护 MySQL 不允许未匹配的语句。

可以通过记录不匹配语句作为可疑行为来检测入侵，而不是拒绝访问。首先，将账户配置设置为 DETECTING 模式：

CALL mysql.sp_set_firewall_mode('fwuser@localhost', 'DETECTING');

然后，使用账户执行不匹配的语句。在 DETECTING 模式下，防火墙允许非匹配语句执行：

mysql> SHOW TABLES LIKE 'customer%';
+------------------------------+
| Tables_in_sakila (customer%) |
+------------------------------+
| customer                     |
| customer_list                |
+------------------------------+

此外，防火墙还将写入错误日志：

[Note] Plugin MYSQL_FIREWALL reported:
'SUSPICIOUS STATEMENT from 'fwuser@localhost'. Reason: No match in allowlist.
Statement: SHOW TABLES LIKE ?'

要禁用账户配置，改变其模式为 OFF：

CALL mysql.sp_set_firewall_mode(user, 'OFF');

要忘记所有训练并禁用配置，重置它：

CALL mysql.sp_set_firewall_mode(user, 'RESET');

重置操作会导致防火墙删除该配置的所有规则，并将其模式设置为 OFF。

要评估防火墙活动，检查其状态变量。例如，在之前的训练和保护 fwgrp 组配置后，这些变量看起来像这样：

mysql> SHOW GLOBAL STATUS LIKE 'Firewall%';
+----------------------------+-------+
| Variable_name              | Value |
+----------------------------+-------+
| Firewall_access_denied     | 3     |
| Firewall_access_granted    | 4     |
| Firewall_access_suspicious | 1     |
| Firewall_cached_entries    | 4     |
+----------------------------+-------+

这些变量表示被拒绝、接受、标记为可疑的语句数量，以及添加到缓存队列中的语句数量，分别。Firewall_access_granted 计数是 4，因为每次使用注册账户连接 mysql 客户端发送的 @@version_comment 语句，三个连接次数加上在 DETECTING 模式下未被阻止的 SHOW TABLES 语句。

MySQL 企业防火墙支持每个账户的单独配置文件，也支持每个可以应用于多个账户的组配置文件。一个组配置文件使得更方便地管理：不需要为每个账户创建单独的配置文件，并且在所有这些配置文件中重复该允许列表，而是创建一个单独的组配置文件，然后将账户添加到其中。组允许列表随后应用于所有账户。

一个只有一个成员账户的组配置文件逻辑上等同于该账户的配置文件，所以可以完全使用组配置文件来管理防火墙，而不是混用账户和组配置文件。对于新安装的防火墙，可以统一创建新的配置文件为组配置文件，避免账户配置文件。

由于组件配置提供的更大灵活性，建议创建所有新的防火墙配置文件为组件配置。账户配置已弃用，将在未来MySQL版本中删除。对于已经包含账户配置的升级，MySQL企业防火墙包括一个名为sp_migrate_firewall_user_to_group()的存储过程，以帮助您将账户配置转换为组件配置。要使用它，请以拥有FIREWALL_ADMIN特权的用户执行以下步骤：

关于sp_migrate_firewall_user_to_group() 的详细信息，请参见Firewall Miscellaneous Stored Procedures。