【MySQL&SSL】How To Configure SSL/TLS for MySQL on CentOS7.x?

一、实验背景

MySQL默认的数据通道是不加密的，在一些安全性要求特别高的场景下，我们需要配置MySQL端口为SSL，使得数据通道加密处理，避免敏感信息泄漏和被篡改。

当然，启用MySQL SSL之后，由于每个数据包都需要加密和解密，这个对MySQL的性能是有不小影响的，们在使用的时候，要根据实际情况斟酌。

MySQL客户端登录服务器时候的密码不是明文传输，有加密策略处理。

 

MySQL 连接方式

下面我们测试 MySQL SSL+密码+密钥的连接方式。

 

二、实验环境

MySQL版本： 5.7.27

IP：192.168.1.105

 

# systemctl status mysqld

# cat /etc/systemd/system/mysqld.service

# /usr/bin/mysql_ssl_rsa_setup  --help

# /usr/bin/mysql_ssl_rsa_setup   --daradir=/opt/mysqldata  --uid-mysql

# ll  /opt/mysqldata/*.pem

 

MySQL5.7.x data(数据)目录下生成的这些pem文件是用于启用SSL功能的。

这些文件是证书颁发机构（以“ca”开头），MySQL服务器进程（以“服务器”开头）和MySQL客户端（以“客户端”开头）的密钥和证书对。 此外，当不使用SSL时，MySQL使用private_key.pem和public_key.pem文件来安全地传输密码。

 

三、开启服务端SSL

 

添加SSL相关配置

# vim   /opt/mysqlconfig/mysqld.cnf

#########################################

[mysqld]

require_secure_transport = ON

ssl-ca                  = /var/lib/mysql/ca.pem

ssl-cert                = /var/lib/mysql/server-cert.pem

ssl-key                  = /var/lib/mysql/server-key.pem

##########################################

 

# docker exec -it mysql   mysql -u root -p"MySQL@123"

mysql>  ALTER USER 'root'@'%' REQUIRE X509;

mysql> FLUSH PRIVILEGES;

mysql> exit

# systemctl restart mysqld 

 

四、连接测试

 

在Windows上用Navicat for MySQL客户端

将 ca.pem  client-cert.pem  client-key.pem拷贝到windows文件夹

 

 

在其他服务器用MySQL命令行工具

将 ca.pem client-cert.pem  client-key.pem拷贝到其他服务的  /etc/mysqlSSL 目录

# chmd 700  /etc/mysqlSSL

# chmod  400 /etc/mysqlSSL/*

 

# mysql --help | grep ssl

# mysql -u root -h 192.168.1.105 -p"MySQL@123" 

 

# mysql -u root -h 192.168.1.105 -p"MySQL@123" \

  --ssl-mode=VERIFY_CA \

  --ssl-ca=/etc/mysqlSSL/ca.pem \

  --ssl-cert=/etc/mysqlSSL/client-cert.pem  \

  --ssl-key=/etc/mysqlSSL/client-key.pem

 

关于 ssl_mode

Alternatives are: 'DISABLED','PREFERRED','REQUIRED','VERIFY_CA','VERIFY_IDENTITY'

SSL connection error: CA certificate is required if ssl-mode is VERIFY_CA or VERIFY_IDENTITY

 

看服务端审计日志

 

如果不想在客户端用MySQL命令行工具指定证书参数，可以将其写在文件配置文件中

在客户端服务器

# vim /etc/my.cnf

###############################

[mysql]

ssl-ca=/etc/mysqlSSL/ca.pem

ssl-cert=/etc/mysqlSSL/client-cert.pem

ssl-key=/etc/mysqlSSL/client-key.pem

################################

 

五、关于MySQL JDBC

 

如何解决MySQL在高版本需要指明是否进行SSL连接问题

https://zhidao.baidu.com/question/2056521203295428667.html

https://blog.youkuaiyun.com/weixin_43201310/article/details/83146610

 

Warning about SSL connection when connecting to MySQL database

https://stackoverflow.com/questions/34189756/warning-about-ssl-connection-when-connecting-to-mysql-database

 

六、参考

MySQL开启ssl连接

https://blog.youkuaiyun.com/weixin_39845407/article/details/81708230

 

MySQL 5.7.x开启SSL连接

https://blog.youkuaiyun.com/weixin_34200628/article/details/89904819

 

mysql_ssl_rsa_setup - 创建SSL / RSA文件

https://www.docs4dev.com/docs/zh/mysql/5.7/reference/mysql-ssl-rsa-setup.html#mysql-ssl-rsa-setup---%E5%88%9B%E5%BB%BAssl--rsa%E6%96%87%E4%BB%B6

 

MySQL Connection over SSL

https://www.heidisql.com/forum.php?t=19494

 

Debugging MySQL SSL problems

https://www.percona.com/blog/2012/11/08/debugging-mysql-ssl-problems

 

MySQL数据库连接useSSL=false

https://blog.youkuaiyun.com/UIYOOOO/article/details/80301411

 

Navicat for MySQL设置SSL属性的步骤

https://jingyan.baidu.com/article/ca41422f36b35b1eae99edc3.html

 

MySQL SSL: bad other signature confirmation

https://serverfault.com/questions/622317/mysql-ssl-bad-other-signature-confirmation

 

MySQL 5.7 SSL连接最佳实战

https://blog.youkuaiyun.com/qq_37322178/article/details/79177052

 

How To Configure SSL/TLS for MySQL on Ubuntu 16.04

https://www.digitalocean.com/community/tutorials/how-to-configure-ssl-tls-for-mysql-on-ubuntu-16-04