MySQL SSL配置（mysql5.7和mysql5.6)

最新推荐文章于 2024-04-15 14:40:53 发布
最新推荐文章于 2024-04-15 14:40:53 发布
阅读量1.1k 收藏 1
点赞数
文章标签： 数据库 网络
原文链接：http://www.cnblogs.com/51yuki/p/mysql06.html
版权

专题一：mysql5.7上开启并配置ssl

[root@mysqlmaster01 bin]# ./mysql_ssl_rsa_setup --datadir=/data/mysql_data1/ --user=mysql

Generating a 2048 bit RSA private key
............................................................................+++
............+++
writing new private key to 'ca-key.pem'
-----
Generating a 2048 bit RSA private key
.......................+++
..........................+++
writing new private key to 'server-key.pem'
-----
Generating a 2048 bit RSA private key
...........+++
..........+++
writing new private key to 'client-key.pem'
-----

查看

mysql> show variables like '%ssl%';
+---------------+-----------------+
| Variable_name | Value |
+---------------+-----------------+
| have_openssl | DISABLED |
| have_ssl | DISABLED |
| ssl_ca | ca.pem |
| ssl_capath | |
| ssl_cert | server-cert.pem |
| ssl_cipher | |
| ssl_crl | |
| ssl_crlpath | |
| ssl_key | server-key.pem |
+---------------+-----------------+
9 rows in set (0.01 sec)

（SSL还是没有启用）

解决办法：把数据目录下.pem的文件，属主和属组改成mysql

[root@mysqlmaster01 mysql_data1]# chown -R mysql.mysql *.pem

然后重启服务

[root@mysqlmaster01 mysql_data1]# /etc/init.d/mysqld_multi stop 1

[root@mysqlmaster01 mysql_data1]# /etc/init.d/mysqld_multi start 1
[root@mysqlmaster01 mysql_data1]# /etc/init.d/mysqld_multi report
Reporting MySQL servers
MySQL server from group: mysqld1 is running

[root@mysqlmaster01 mysql_data1]# mysql --login-path=mysql1 -e "show variables like 'have%ssl%';"
+---------------+-------+
| Variable_name | Value |
+---------------+-------+
| have_openssl | YES |
| have_ssl | YES |
+---------------+-------+

(说明ssl已经启用咯）

[root@mysqlmaster01 mysql_data1]# ll *.pem
-rw-------. 1 mysql mysql 1679 Nov 24 11:14 ca-key.pem
-rw-r--r--. 1 mysql mysql 1107 Nov 24 11:14 ca.pem
-rw-r--r--. 1 mysql mysql 1107 Nov 24 11:14 client-cert.pem
-rw-------. 1 mysql mysql 1679 Nov 24 11:14 client-key.pem
-rw-------. 1 mysql mysql 1679 Nov 24 11:14 private_key.pem
-rw-r--r--. 1 mysql mysql 451 Nov 24 11:14 public_key.pem
-rw-r--r--. 1 mysql mysql 1107 Nov 24 11:14 server-cert.pem
-rw-------. 1 mysql mysql 1675 Nov 24 11:14 server-key.pem

 

如何通过ssl进行连接

[root@mysqlmaster01 mysql_data2]# mysql -u ssl -p -h 10.2.11.226 --ssl-cert=/data/mysql_data2/client-cert.pem --ssl-key=/data/mysql_data2/client-key.pem -P 3307
Enter password:
Welcome to the MySQL monitor. Commands end with ; or \g.
Your MySQL connection id is 15
Server version: 5.7.20-log MySQL Community Server (GPL)

Copyright (c) 2000, 2017, Oracle and/or its affiliates. All rights reserved.

Oracle is a registered trademark of Oracle Corporation and/or its
affiliates. Other names may be trademarks of their respective
owners.

Type 'help;' or '\h' for help. Type '\c' to clear the current input statement.

mysql> \q

（默认如果授权没有做任何限制，用户既可以通过秘钥登录，也可以通过用户名和密码登录）

 

用户授权规定只能通过ssl方式登录

mysql> create user 'tom'@'10.2.11.%' identified by 'Aa123456';
Query OK, 0 rows affected (0.00 sec)

mysql> grant all on *.* to 'tom'@'10.2.11.%' require ssl;
Query OK, 0 rows affected, 1 warning (0.00 sec)

测试

[root@mysqlmaster01 ~]# mysql -u tom -p -h 10.2.11.226 --ssl-mode 'REQUIRED' -P 3306
Enter password:
Welcome to the MySQL monitor. Commands end with ; or \g.

mysql>

 

mysql> \s
--------------
mysql Ver 14.14 Distrib 5.7.20, for linux-glibc2.12 (x86_64) using EditLine wrapper

Connection id: 25
Current database:
Current user: tom@10.2.11.226
SSL: Cipher in use is DHE-RSA-AES256-SHA
Current pager: stdout
Using outfile: ''
Using delimiter: ;
Server version: 5.7.20-log MySQL Community Server (GPL)
Protocol version: 10
Connection: 10.2.11.226 via TCP/IP
Server characterset: latin1
Db characterset: latin1
Client characterset: utf8
Conn. characterset: utf8
TCP port: 3306
Uptime: 1 hour 34 min 11 sec

Threads: 2 Questions: 56 Slow queries: 0 Opens: 124 Flush tables: 1 Open tables: 117 Queries per second avg: 0.009
--------------

 如果不仅需要ssl还需要秘钥，那么怎么操作呢？

mysql> alter user 'tom'@'10.2.11.%' require x509;
Query OK, 0 rows affected (0.01 sec)

或者新建一个用户，要求ssl+秘钥登录

mysql> grant all on *.* to 'test'@'10.2.11.%' identified by 'Aa123456' require x509;
Query OK, 0 rows affected, 1 warning (0.01 sec)

mysql> grant all on *.* to 'test'@'10.2.18.%' identified by 'Aa123456' require x509;
Query OK, 0 rows affected, 1 warning (0.01 sec)

mysql> flush privileges;
Query OK, 0 rows affected (0.00 sec)

 测试登录：

[root@mysqlmaster01 mysql_data1]# mysql -u test -p -h 10.2.11.226 -P 3306 --ssl
WARNING: --ssl is deprecated and will be removed in a future version. Use --ssl-mode instead.
Enter password:
ERROR 1045 (28000): Access denied for user 'test'@'10.2.11.226' (using password: YES)

（发现通过ssl登录不了）

 

远程客户端连接测试（我以mysql workbench为例）

 

第二专题：mysql5.6上开启并配置ssl

https://dev.mysql.com/doc/refman/5.6/en/using-encrypted-connections.html

 1、加密连接服务端配置

 [mysqld]

ssl-ca=ca.pem

ssl-cert=server-cert.pem

ssl-key=server-key.pem

说明：

ss-ca：证书颁发机构(CA)证书文件的路径名

ssl-cert：服务器公钥证书文件的路径名。这可以发送到客户端，并通过CA证书进行身份验证。

ssl-key：服务器的私钥证书文件的路径名

2、客户端使用ssl

案例：

mysql  --ssl-ca=ca.pem  --ssl-cert=client-cert.pem  --ssl-key=client-key.pem

通过openssl 制作生成 SSL 证书

[root@mysqlmaster01 CA]# touch index.txt
[root@mysqlmaster01 CA]# echo 01>serial

 

创建CA证书

[root@server mysql56]# openssl genrsa 2048 > ca-key.pem
Generating RSA private key, 2048 bit long modulus
...............................................+++
......................................................................................................................+++
e is 65537 (0x10001)
[root@server mysql56]# openssl req -new -x509 -nodes -days 3600 -key ca-key.pem -out ca.pem
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [XX]:CN
State or Province Name (full name) []:shanghai
Locality Name (eg, city) [Default City]:shanghai
Organization Name (eg, company) [Default Company Ltd]:als
Organizational Unit Name (eg, section) []:ops
Common Name (eg, your name or your server's hostname) []:ca.test.com
Email Address []:
[root@server mysql56]# ll *.pem
-rw-r--r--. 1 root root 1679 Nov 24 15:15 ca-key.pem
-rw-r--r--. 1 root root 1314 Nov 24 15:16 ca.pem

创建服务器证书

[root@server mysql56]# openssl req -newkey rsa:2048 -days 3600 -nodes -keyout server-key.pem -out server-req.pem
Generating a 2048 bit RSA private key
......................................................+++
.........................+++
writing new private key to 'server-key.pem'
-----
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [XX]:CN
State or Province Name (full name) []:shanghai
Locality Name (eg, city) [Default City]:shanghai
Organization Name (eg, company) [Default Company Ltd]:als
Organizational Unit Name (eg, section) []:ops
Common Name (eg, your name or your server's hostname) []:server.test.com
Email Address []:

Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:
[root@server mysql56]# openssl rsa -in server-key.pem -out server-key.pem
writing RSA key

[root@server mysql56]# openssl x509 -req -in server-req.pem -days 3600 -CA ca.pem -CAkey ca-key.pem -set_serial 01 -out server-cert.pem
Signature ok
subject=/C=CN/ST=shanghai/L=shanghai/O=als/OU=ops/CN=server.test.com
Getting CA Private Key

 

创建客户端证书

 

[root@server mysql56]# openssl req -newkey rsa:2048 -days 3600 -nodes -keyout client-key.pem -out client-req.pem
Generating a 2048 bit RSA private key
.+++
...............................................+++
writing new private key to 'client-key.pem'
-----
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [XX]:CN
State or Province Name (full name) []:shanghai
Locality Name (eg, city) [Default City]:shanghai
Organization Name (eg, company) [Default Company Ltd]:als
Organizational Unit Name (eg, section) []:ops
Common Name (eg, your name or your server's hostname) []:client.test.com
Email Address []:

Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:
[root@server mysql56]# openssl rsa -in client-key.pem -out client-key.pem
writing RSA key
[root@server mysql56]# openssl x509 -req -in client-req.pem -days 3600 -CA ca.pem -CAkey ca-key.pem -set_serial 02 -out client-cert.pem
Signature ok
subject=/C=CN/ST=shanghai/L=shanghai/O=als/OU=ops/CN=client.test.com
Getting CA Private Key

 

检测：

[root@mysqlmaster01 mysql56]# openssl verify -CAfile ca.pem server-cert.pem client-cert.pem
server-cert.pem: OK
client-cert.pem: OK

 

说明：

  • ca.pem: Use this as the argument to --ssl-ca on the server and client sides. (The CA certificate, if used, must be the same on both sides.)

  • server-cert.pem, server-key.pem: Use these as the arguments to --ssl-cert and --ssl-key on the server side.

  • client-cert.pem, client-key.pem: Use these as the arguments to --ssl-cert and --ssl-key on the client side.

 

[root@mysqlmaster01 mysql56]# chown -R mysql.mysql *.pem （更改属主和属组）

 

编写my.cnf文件，在【mysqld】下填写

ssl-ca=/data/mysql56/ca.pem
ssl-cert=/data/mysql56/server-cert.pem
ssl-key=/data/mysql56/server-key.pem

 测试

mysql> grant all on *.* to 'test'@'10.2.11.%' identified by 'Aa123456' require x509; （授权test用户通过ssl+秘钥登录）
Query OK, 0 rows affected (0.00 sec)

mysql> flush privileges;
Query OK, 0 rows affected (0.00 sec)

 

[root@mysqlmaster01 ~]# mysql -u test -h 10.2.11.226 -p -P 3308
Enter password:
ERROR 1045 (28000): Access denied for user 'test'@'10.2.11.226' (using password: YES)

 （直接用密码登录错误）

 

 

[root@mysqlmaster01 ~]# mysql -u test -h 10.2.11.226 -p -P 3308 -ssl-cert=client-cert.pem --ssl-key=client-key.pem --ssl-ca=ca.pem
mysql: [ERROR] mysql: unknown option '-l'
[root@mysqlmaster01 ~]# mysql -u test -h 10.2.11.226 -p -P 3308 --ssl-cert=client-cert.pem --ssl-key=client-key.pem --ssl-ca=ca.pem
Enter password:
ERROR 2026 (HY000): SSL connection error: SSL_CTX_set_default_verify_paths failed
[root@mysqlmaster01 ~]# mysql -u test -h 10.2.11.226 -p -P 3308 --ssl-cert=/data/mysql56/client-cert.pem --ssl-key=/data/mysql56/client-key.pem
Enter password:
Welcome to the MySQL monitor. Commands end with ; or \g.
Your MySQL connection id is 5
Server version: 5.6.38-log MySQL Community Server (GPL)

Copyright (c) 2000, 2017, Oracle and/or its affiliates. All rights reserved.

Oracle is a registered trademark of Oracle Corporation and/or its
affiliates. Other names may be trademarks of their respective
owners.

Type 'help;' or '\h' for help. Type '\c' to clear the current input statement.

mysql>

（如果要在其他电脑上通过ssl登录该机器的数据库，必须要ca.pem,client-cert.pem,client-key.pem拷贝到其他电脑上，然后配置连接数据库的工具使用ssl）

 

转载于:https://www.cnblogs.com/51yuki/p/mysql06.html

adelexu1971
关注
  • 0
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
mysql 5.6 配置ssl_Mysql配置ssl证书
weixin_31041421的博客
01-19 1446
本环境基于mysql5.6配置，通过openssl生成证书进行配置一、确认环境信息1、查看数据库版本mysql> select version();+-----------+| version() |+-----------+| 5.6.36 |+-----------+2、查看数据库是否支持ssl配置mysql> show variables like 'have%ssl%';...
mysql 5.6 配置ssl_MySQL 5.6使用 SSL 连接
weixin_36326243的博客
01-27 1059
与5.7使用 mysql_ssl_rsa_setup 自动生成秘匙不同，5.6需要通过openssl命令来生成秘匙创建一个 certs 文件用于放秘匙我放在了datadir目录下 mkdir certs && cd certs首先生成所需 keyCA「主要命令」openssl genrsa 2048 > ca-key.pemopenssl req -new -x509 -no...
Docker MySQL开启SSL加密传输方案
醒狮运维:热爱IT运维的老攻城狮们
03-21 2365
Docker MySQL开启SSL加密传输方案 产品：Docker MySQL 版本： 5.6 环境： CentOS Linux 7 文章目录Docker MySQL开启SSL加密传输方案方案背景变更内容变更范围变更影响风险评估实施方案变更检验回退方案 方案背景 根据等保要求，生产数据库需开启SSL加密传输功能，避免以明文方式在网络中传输敏感信息，防止信息泄露； 变更内容 序号 变更步骤 操作时长 1 检查数据库SSL状态 2分钟 2 备份数据库参数文件 5分钟 3 创建SSL证
MySQL5.6 选项和变量整理
热门推荐
wulantian的专栏
12-30 1万+
MySQL5.6 选项和变量整理  (2013-04-01 18:10:00) 转载▼ 标签：  mysql5.6配置参数整理 分类： MySQL  --allow-suspicious-udfs 这个选项控制是否用户定义函数只有一个xxx符号用于主函数加载。默认，该选项是关闭并且只具有至少一个辅助符号的UDFs才可以加
MYSQL8安全之SSL认证_mysql ssl，网络安全面试必问
最新发布
2401_83621331的博客
04-15 1078
CREATE USER 用户名@‘%’ IDENTIFIED BY ‘表名’ require x509;CREATE USER 用户名@‘%’ IDENTIFIED BY ‘表名’ require ssl;CREATE USER 用户名@‘%’ IDENTIFIED BY ‘表名’;– 查看全局变量中包含"SSL"字符的所有变量名和值。– require x509 强制用户使用证书认证。– require ssl 强制用户使用证书认证。– 登录mysql后查看加密模式。– 检查数据库是否启用SSL。
MySQL 5.6--------SSL连接最佳实战
weixin_34228387的博客
06-27 870
1. 背景 * 在生产环境下，安全总是无法忽视的问题，数据库安全则是重中之重，因为所有的数据都存放在数据库中 *当使用非加密方式连接MySQL数据库时，在网络中传输的所有信息都是明文的，可以被网络中所有人截取，敏感信息可能被泄露。在传送敏感信息（如密码）时，可以采用SSL连接的方式。2. MySQL 连接方式 * socket连接 * TCP非SSL连接 ...
mysql 5.6 使用ssl_MySQL 5.6--------SSL连接最佳实战
weixin_39667801的博客
01-27 316
MySQL 5.6--------SSL连接最佳实战https://blog.csdn.net/weixin_33670786/article/details/89776706mysql -uroot -pselect version();show variables like 'have%ssl%';show variables like 'port';show variables like '...
Mysql配置ssl证书
小小陈的博客
10-28 4918
本环境基于mysql5.6配置，通过openssl生成证书进行配置 一、确认环境信息 1、查看数据库版本 mysql> select version(); +-----------+ | version() | +-----------+ | 5.6.36 | +-----------+ 2、查看数据库是否支持ssl配置 mysql> show variables like ‘have%ssl%‘; +---------------+----------+ | Var.
mysql 5.7库文件和测试代码
07-10
MySQL 5.7是MySQL数据库管理系统的一个重要版本，它在5.6的基础上进行了多项改进和增强，以提供更高效、更稳定的服务。本资源包包含了MySQL 5.7的库文件以及相关的测试代码，这对于开发者来说是宝贵的参考资料，有助...
MySQL 5.7版本以上数据库的连接驱动jar包
10-24
这是MySQL 5.7版本以上数据库的连接驱动jar包，对应加载驱动程序代码： Class.forName("com.mysql.cj.jdbc.Driver"); 该驱动包适用于Java web开发，连接MySQL数据库时导入工程。 参考代码： Class.forName(...
Jira+mysql5.7解决包.rar
02-04
Jira+Mysql5.7会报引擎问题，因为JIRA匹配到5.6版本，解决方案是更新链接客户端， 使用方法：解压后把文件放入/opt/atlassian/jira/atlassian-jira/WEB-INF/lib/目录
MySQL配置SSL主从复制
12-16
MySQL5.6 创建SSL文件方法 官方文档：https://dev.mysql.com/doc/refman/5.6/en/creating-ssl-files-using-openssl.html#creating-ssl-files-using-openssl-unix-command-line Create clean environment mkdir /home/mysql/mysqlcerts && cd /home/mysql/mysqlcerts Create CA certificate openssl genrsa 2048 > ca-key.pem openssl
CentOS 6.5安装mysql5.7教程
12-16
相对于postgreSQL和MariaDB而言，MySQL5.7做了大量“补短”操作。 二、升级操作 1、卸载旧版本 1.1、查看MySQL rpm -qa|grep mysql rpm -qa|grep mariadb 1.2、卸载MySQL rpm -e --nodeps mysql-5.1.73-7.el6....
Centos7.4下mysql5.6开启ssl
kadwf123的专栏
11-16 1322
1、查看ssl开启情况 mysql> SHOW VARIABLES LIKE 'have_ssl'; +---------------+----------+ | Variable_name | Value | +---------------+----------+ | have_ssl | DISABLED | +---------------+----------+ ...
mysql 5.6 使用ssl_PHP 5.6,MySQL,SSL和自签名证书
weixin_31508009的博客
02-01 240
做了一些研究后,我找到了问题的答案：1.错误“dh键太小”由于logjam,DH密钥大小现在必须大于768位,而MySQL的默认大小是512位. (注意：这将在MySQL 5.7中修复).您必须在连接中提供适当的密码,例如： CAMELLIA128-SHA.$db->ssl_set('/etc/mysql/certs/client-key.pem', '/etc/mysql/certs/cl...
多种不同的 MySQL 的 SSL 配置浅谈
hdxx2022的博客
08-25 566
有一些细微的协议支持差别，比如：MySQL 只支持 TLS v1.0，默认不支持主机名验证，所以你的证书可能是给db1.example.com的，也可能是给db2.example的，浏览器则可能会用OCSP、CRL's 或 CRLsets 来验证证书是否有效。MySQL 只支持 TLS v1.0，默认不支持主机名验证，所以你的证书可能是给db1.example.com的，也可能是给db2.example的，浏览器则可能会用OCSP、CRL's 或 CRLsets 来验证证书是否有效。这就是他们最大的不同。
mysql5.7配置了证书(pem)，但是have_ssl一直为DISABLED
Zq
03-08 9476
2021年底等级包含变得更加严格了，以前中风险的现在有变高风险了，其中一点就要求我们mysql开启ssl连接，然后故事和事故就来了。 说明下我的情况： 服务器：centos7 docker mysql镜像是：mysql:5.7 实际服务器版本为：5.7.31-log 我的解决过程是百度如何开启ssl，还有点搞笑，先教我用OpenSSL玩一遍，一堆命令，我第一次玩还要搞清楚他每个对话的意思，含义慢慢填写，这次已经有经验了快了不少，但还是恨没有先阅读一遍。用工具只需要一行命令就生成完事了（mysql_ssl_r
MySQL数据库have_openss_MySQL 关于OpenSSL证书支持检查方式
weixin_31659557的博客
02-28 2390
1、mysql编译参数：#cat /usr/local/mysql/bin/mysqlbug|grep configure# This is set by configureCONFIGURE_LINE="./configure '--prefix=/usr/local/mysql' '--with-openssl' '--enable-thread-safe-client' '--enable-...
5.7和5.6的mysql_mysql5.6和5.7的区别
06-03
MySQL 5.6和5.7是两个不同的版本，它们之间存在以下几个区别： 1. 性能：MySQL 5.7相对于MySQL 5.6来说，可以获得更好的性能和更高的吞吐量。 2. JSON支持：MySQL 5.7在JSON支持方面比MySQL 5.6更加强大，它提供了更多的JSON函数和操作符，可以更方便地处理JSON数据。 3. 查询优化：MySQL 5.7对查询进行了优化，可以加快查询速度，并减少CPU和内存的使用。 4. InnoDB存储引擎：MySQL 5.7默认使用InnoDB存储引擎，相比MySQL 5.6的MyISAM存储引擎，InnoDB存储引擎在事务性能、数据完整性、并发性能等方面都更加强大。 5. 安全性：MySQL 5.7相比MySQL 5.6来说，对安全性的支持更加强大，包括密码管理、加密传输等方面都有所提升。 总的来说，MySQL 5.7相对于MySQL 5.6来说，在性能、功能、安全性等方面都有所提升和改进。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值