Sécuriser MySQL avec HAProxy + ProxySQL: Le Guide de Survie

> TL;DR: Protéger MySQL en production nécessite plusieurs couches de sécurité. J'ai déployé HAProxy (rate limiting) + ProxySQL (cache SQL) devant MySQL. Mais attention: ProxySQL a un piège vicieux qui ignore votre fichier de config après le premier démarrage. Voici comment j'ai résolu avec tmpfs + entrypoint custom.

🎯 Pourquoi Deux Proxies ?

Question légitime: Pourquoi pas juste HAProxy ? Ou juste ProxySQL ?

Réponse: Parce que chacun excelle dans SON domaine:

HAProxy = Sécurité Réseau

• ✅ Rate limiting par IP: max 5 connexions simultanées, 10 nouvelles/3s
• ✅ Load balancing: répartition de charge entre serveurs MySQL
• ✅ Healthchecks: retire automatiquement les backends down
• ✅ SSL termination: déchiffrement HTTPS en amont

ProxySQL = Sécurité Applicative

• ✅ Cache SQL: queries en mémoire, moins de charge MySQL
• ✅ Query rewriting: bloquer les DROP/DELETE dangereux
• ✅ Connection pooling: réutiliser les connexions MySQL
• ✅ Firewall SQL: filtrer par pattern de requête

Architecture finale:

Internet (clients malveillants)
    ↓
HAProxy:6033 (bloque les IPs agressives)
    ↓
ProxySQL:6032 (bloque les requêtes dangereuses)
    ↓
MySQL:3306 (bien protégé)

🐛 Le Piège ProxySQL (6h de Debug)

Le problème n°1 que j'ai rencontré: ProxySQL ignore TOTALEMENT le fichier de config après le premier démarrage.

Situation Initiale

Je crée un proxysql.cnf avec mes credentials. Premier démarrage: ✅ Connexion OK. Redémarrage du container: ❌ Access denied !

WTF ?! 🤯

J'ai perdu 2h à tester différentes solutions sans succès.

La Vérité (Doc Officielle)

> "After first startup the DB file is used instead of the config file"

ProxySQL crée une base SQLite /var/lib/proxysql/proxysql.db au premier démarrage. Ensuite, il LIT CETTE BASE, pas le fichier .cnf.

✅ Solution: tmpfs + Entrypoint Custom

services:
  proxysql:
    image: proxysql/proxysql:2.6.0
    volumes:
      - ./proxysql/proxysql.cnf:/etc/proxysql.cnf.template:ro
      - ./proxysql/entrypoint-wrapper.sh:/entrypoint-wrapper.sh:ro
      # 🔥 Le secret: tmpfs (RAM, non persistent)
      - type: tmpfs
        target: /var/lib/proxysql
    entrypoint: ["/entrypoint-wrapper.sh"]

Pourquoi tmpfs ?

• La base SQLite est créée en RAM
• Elle disparaît au redémarrage du container
• ProxySQL est FORCÉ de relire le fichier config

🚧 Autre Galère: HAProxy Healthcheck

Problème: HAProxy marque ProxySQL comme DOWN avec "Access denied for user 'monitor'"

Solution: TCP Check Basique au lieu de mysql-check

backend proxysql-back
    mode tcp
    balance roundrobin
    option tcp-check
    server proxysql1 proxysql:6032 check inter 5s fall 3 rise 2

🎓 Ce que J'ai Appris

1. Lire la doc officielle en cas de blocage: La phrase "DB file is used instead of config file" était LA clé
2. Les healthchecks Docker peuvent bloquer des dépendances
3. Les timings d'init comptent: ProxySQL met ~25 secondes à démarrer
4. ProxySQL n'est PAS fait pour des configs dynamiques

---

Des questions ? Contactez-nous via le formulaire de contact DockSky.