运维教程-配置MySQL SSL

跨零代码为大家提供高品质的解决方案,请大家多多来访,跨零不胜感激,在此谢过。

配置MySQL SSL

MySQL默认的数据通道是不加密的,在一些安全性要求特别高的场景下,我们需要配置MySQL端口为SSL,使得数据通道加密处理,避免敏感信息泄漏和被篡改。
当然,启用MySQL SSL之后,由于每个数据包都需要加密和解密,这个对MySQL的性能是有不小影响的,读者们在使用的时候,要根据实际情况斟酌。

笔者是在 ubuntu12.04 系统上使用MySQL 5.5版本测试的,其他环境请读者自行匹配。

配置MySQL服务器证书

编辑 /etc/mysql/my.cnf 文件

# ssl-ca=/etc/mysql/cacert.pem # ssl-cert=/etc/mysql/server-cert.pem # ssl-key=/etc/mysql/server-key.pem 

把上面三行默认证书配置注释打开,使用自己的证书。笔者就使用上次在搭建自己的CA服务 – OpenSSL CA 实战文章中生成的证书

ssl-ca=/home/yunweipai/user_certs/ca_cert.cer ssl-cert=/home/yunweipai/user_certs/web.cer ssl-key=/home/yunweipai/user_certs/web_key_plain.pem 

注意上面配置的 web_key_plain.pem 文件,由于MySQL不支持加密后的私钥,因此我们使用命令

openssl rsa -in web_key.pem -passin pass:Yunweipai@123 -out web_key_plain.pem 

将私钥解密。MySQL不支持私钥加密的原因是从安全性角度考虑,因为如果要用户传递一个加密的私钥,那么必须要用户传密码,那么MySQL怎么存储这个密码呢?这就引出了我们在密码存储和传输的安全建议里面提到的一系列问题了。
所以MySQL为了简化实现,就不支持私钥加密。

指定客户端连接方式

MySQL服务端在对客户端授权的时候,可以通过选项指定客户端连接MySQL 服务器的SSL级别,参考MySQL赋权的 REQUIRE值:
ssl_option
SSL: 不认证客户端,客户端不需要提供证书
X509: 客户端必须发送一个有效的X509证书
issuer: 客户端的证书是否是服务器所配置的CA颁发的(在我们场景下是ca_cert.cer颁发的证书)
subject: 认证证书的subject(关于证书的subject在之前的文章有介绍)
cipher: 指定加密算法
这些选项可以叠加使用,如:X509|issuser

客户端连接(SSL方式)

mysql 客户端连接
mysql -u root -pChangeme_123 -P 3306 --ssl-ca=/home/yunweipai/user_certs/ca_cert.cer Welcome to the MySQL monitor.  Commands end with ; or /g. Your MySQL connection id is 36 Server version: 5.5.43-0ubuntu0.12.04.1 (Ubuntu)  Copyright (c) 2000, 2015, Oracle and/or its affiliates. All rights reserved.  Oracle is a registered trademark of Oracle Corporation and/or its affiliates. Other names may be trademarks of their respective owners.  Type 'help;' or '/h' for help. Type '/c' to clear the current input statement.  mysql> /s -------------- mysql  Ver 14.14 Distrib 5.5.43, for debian-linux-gnu (i686) using readline 6.2  Connection id:      36 Current database: Current user:       root@localhost SSL:            Cipher in use is DHE-RSA-AES256-SHA Current pager:      stdout Using outfile:      '' Using delimiter:    ; Server version:     5.5.43-0ubuntu0.12.04.1 (Ubuntu) Protocol version:   10 Connection:     Localhost via UNIX socket Server characterset:    latin1 Db     characterset:    latin1 Client characterset:    latin1 Conn.  characterset:    latin1 UNIX socket:        /var/run/mysqld/mysqld.sock Uptime:         29 sec  Threads: 1  Questions: 109  Slow queries: 0  Opens: 48  Flush tables: 1  Open tables: 41  Queries per second avg: 3.758 -------------- 
JDBC连接

在jdbc字符串中增加下面参数
useSSL=true&verifyServerCertificate=false
这么就不需要客户端配置证书了,配置就简单很多。因为mysql本身有账号口令认证,因此不需要证书认证。

从零到一,创造未来!跨零综合IT问题解决服务站,欢迎你的到来。运维教程 只为你绽放。

本文固定链接: http://kua0.com/2019/01/08/运维教程-配置mysql-ssl/

为您推荐

发表评论

电子邮件地址不会被公开。 必填项已用*标注