MySQL 在“WHERE”中连接多个范围条款

Question

我正在尝试使用 snort 的架构并提取与我的程序相关的信息。 我使用以下查询来提取给定 IP 集在指定时间段内发生的警报。该查询类似于“

select event.sid,event.cid,event.signature,event.timestamp,iphdr.ip_proto,iphdr.ip_src,iphdr.ip_dst from 
event join iphdr 
where event.sid=iphdr.sid and event.cid=iphdr.cid and iphdr.ip_dst >= inet_aton('x.x.x.1') and iphdr.ip_dst <= inet_aton('x.x.x.255') 
or iphdr.ip_dst >= inet_aton('x.x.y.1') and iphdr.ip_dst <= inet_aton('x.x.y.255') 
and event.timestamp > "2011-05-06 00:00:00" order by timestamp 

我需要获取两个在指定时间（2011 年 5 月 6 日）之后发生的警报” IP 组（xxx0/24 和 xxy0/24）

仅对一组 IP（例如 192.168.1.0/24）（即 192.168.1.1 和 192.168.1.255 之间）执行查询既快速又简单

如果有WHERE 子句中有多个范围。例如，192.168.1.1 和 192.168.1.255 之间或 10.21.18.1 和 10.21.18.255 之间的 IP。正如上面的查询中给出的

，在这种情况下，mysql查询的执行需要很长时间才能执行（我运行了30分钟，然后不得不杀死MySQL守护进程）

我确信是OR部分导致了问题，但是不知道如何纠正它。

event 和 iphdr 表都有大约。总共 150,000 行

由于在我的程序中，用户可以指定他想要查看警报的多个子网，因此我需要无缝运行查询，而不管 WHERE 子句中的范围数量如何。

Answer 1

在SQL 中，AND 的优先级高于OR。

您的过滤器实际上是这样的：

(
event.sid=iphdr.sid and event.cid=iphdr.cid and iphdr.ip_dst >= inet_aton('x.x.x.1') and iphdr.ip_dst <= inet_aton('x.x.x.255')
)
or
(
iphdr.ip_dst >= inet_aton('x.x.y.1') and iphdr.ip_dst <= inet_aton('x.x.y.255') and event.timestamp > "2011-05-06 00:00:00"
)

第二个条件破坏了 iphdr 和 event 之间的相关性，从而导致它们子集的笛卡尔连接。

将 OR 子句放入括号中：

event.sid=iphdr.sid
AND event.cid=iphdr.cid
AND
(
iphdr.ip_dst BETWEEN inet_aton('x.x.x.1') AND inet_aton('x.x.x.255')
OR
iphdr.ip_dst BETWEEN inet_aton('x.x.y.1') AND inet_aton('x.x.y.255')
)
AND event.timestamp > "2011-05-06 00:00:00"

您可能还想创建这些索引：

iphdr (ip_dst)
event (timestamp)

Answer 2

WHERE 中的 OR 会破坏您的连接。尝试将连接从 where 中取出，或者至少在 OR 周围使用方括号，例如：

select event.sid,event.cid,event.signature,event.timestamp,
iphdr.ip_proto,iphdr.ip_src,iphdr.ip_dst 
from event join iphdr on (event.sid=iphdr.sid and event.cid=iphdr.cid)
where iphdr.ip_dst >= inet_aton('x.x.x.1') 
and (
iphdr.ip_dst <= inet_aton('x.x.x.255') 
or iphdr.ip_dst >= inet_aton('x.x.y.1') 
)
and iphdr.ip_dst <= inet_aton('x.x.y.255') 
and event.timestamp > "2011-05-06 00:00:00" 
order by timestamp