linux之ssl连接mysql以及主从配置

最新推荐文章于 2023-09-06 10:43:51 发布
最新推荐文章于 2023-09-06 10:43:51 发布
阅读量4k 收藏
点赞数
分类专栏： mysql 文章标签： 数据库 linux mysql mysql ssl
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/u010391029/article/details/46665647
版权


在这里我结合其他人写的资料加上我自己的总结谈谈ssl连接mysql，虽然网上好多人都写了很多教程但是中间省略了很多，最终导致我们配置失败，在这我详细的介绍一下,有些的不好的地方也希望大家多多指点

我们印象中的主从复制过程或远程连接到MySQL/MariaDB所有的链接通信中的数据都是明文的，在局域网内连接倒问题不大;要是在外网里访问数据或则复制，则安全隐患会被放大很多。由于项目要求需要直接和外网的一台实例进行同步。所以本文介绍下通过SSL加密的方式进行复制的方法，来进一步提高数据的安全性。本文会一起介绍MySQL和MariaDB。

环境搭建:

默认情况下ssl都是关闭的，要是have_ssl显示NO，则表示数据库不支持SSL，需要重新编译安装来支持它，显示为DISABLED表示我们的数据库只是关闭了SSL，并没有没有启用它。

我们通过show命令显示变量ssl

>show variableslike'%ssl%';+---------------+----------+

| Variable_name| Value|

+---------------+----------+

| have_openssl|DISABLED|

| have_ssl|DISABLED|

| ssl_ca||

| ssl_capath||

| ssl_cert||

| ssl_cipher||

| ssl_key||

+---------------+----------+

现在来开启SSL，在配置文件的mysqld选项组里面添加:

ssl

重启数据库，再次查看:

show variableslike'%ssl%';

+---------------+-------+

| Variable_name| Value|

+---------------+-------+

| have_openssl|YES|

| have_ssl|YES|

| ssl_ca||

| ssl_capath||

| ssl_cert||

| ssl_cipher||

| ssl_key||

+---------------+-------+

接着就是配置SSL的重点了:

1:在主服务器上创建CA证书

在这需要注意一点就是生成证书时你需要填写各种配置信息包括所在国家，你的姓名，公司名等在这要保证 生成CA根证书  根据提示填写各个字段, 但注意 Common Name 最好是有效根域 (如 freedomwind.com ),   并且不能和后来服务器证书签署请求文件中填的 Common Name 完全一样，否则会导致证书生成的时候出现如下错误：error 18 at 0 depth lookup:self signed certificate 错误  

正常验证证书的有效性应该会提示：

shell> openssl verify -CAfile ca.pemserver-cert.pem client-cert.pem

server-cert.pem: OK

client-cert.pem: OK

 

 接下来我们开始配置： 

openssl genrsa 2048> ca-key.pem

openssl req -new-x509-nodes-days1000-key ca-key.pem> ca-cert.pem

2:在主服务器上创建服务端的证书:

openssl req-newkey rsa:2048-days1000-nodes-keyoutserver-key.pem> server-req.pem

openssl x509 -req-in server-req.pem-days1000-CA ca-cert.pem-CAkey ca-key.pem-set_serial01> server-cert.pem

3:在主服务器上创建客户端的证书:

openssl req-newkey rsa:2048-days1000-nodes-keyoutclient-key.pem> client-req.pem

openssl x509 -req-in client-req.pem-days1000-CA ca-cert.pem-CAkey ca-key.pem-set_serial01> client-cert.pem

上面的操作都是在主上执行的，并且都在/etc/mysql/目录下执行的。 这里需要注意的是MySQL和MariaDB不同:

MySQL在生成上面证书的时候需要输入大量用户信息，在CA上创建证书要注意所有的用户信息要和CA中的 一致 ，从国家到部门都要相同，否则会造成证书无法使用，直接全部默认回车即可。要是用户信息一样则MariaDB会报错: 

ERROR2026 (HY000):SSLconnection error: error:00000001:lib(0):func(0):reason(1)

和

[ERROR] Slave I/O:errorconnectingto master ... - retry-time:60 retries:86400 message:SSL connection error: error:14090086:SSLroutines:SSL3_GET_SERVER_CERTIFICATE:certificate verifyfailed, Internal MariaDBerror code:2026

MariaDB在生成上面证书的时候也是需要输入大量用户信息，和MySQL不同的是输入的用户信息服务端和客户端 不能一致 。即服务端输入和客户端输入不一样。具体原因见 这里 ，最后可以通过:

openssl verify-CAfile/etc/mysql/ca-cert.pem/etc/mysql/server-cert.pem/etc/mysql/client-cert.pem

验证MariaDB证书的有效性。好了，所有的证书已经生成，那么在主上需要修改配置文件，把生成的证书配置起来:

ssl-ca=/etc/mysql/ca-cert.pem

ssl-cert=/etc/mysql/server-cert.pem

ssl-key=/etc/mysql/server-key.pem

并且把生成的证书: ca-cert.pem，client-cert.pem，client-key.pem复制给从服务器 。

重启主服务器，查看SSL的情况:

>show variableslike'%ssl%';

+---------------+----------------------------+

| Variable_name| Value|

+---------------+----------------------------+

| have_openssl|DISABLED|

| have_ssl|DISABLED|

| ssl_ca|/etc/mysql/ca-cert.pem|

| ssl_capath||

| ssl_cert|/etc/mysql/server-cert.pem|

| ssl_cipher||

| ssl_key|/etc/mysql/server-key.pem|

+---------------+----------------------------+

发现have_ssl变成了DISABLED，查看错误日志:

SSL error: Unableto get privatekeyfrom'/etc/mysql/server-key.pem'

14122911:09:02[Warning] Failed to setup SSL

14122911:09:02[Warning] SSLerror: Unable to get privatekey

发现服务端的key不可用，在网上到了解决办法，大家可以自己看:http://askubuntu.com/questions/194074/enabling-ssl-in-mysql ，概括的说就是openssl新版本的变化导致的，这里有2个解决办法来重新生成server-key.pem:

方法1:openssl rsa

openssl rsa-in server-key.pem-outserver-key.pem

再次查看SSL情况:

>show variableslike'%ssl%';

+---------------+----------------------------+

| Variable_name| Value|

+---------------+----------------------------+

| have_openssl| YES|

| have_ssl| YES|

| ssl_ca|/etc/mysql/ca-cert.pem|

| ssl_capath||

| ssl_cert|/etc/mysql/server-cert.pem|

| ssl_cipher||

| ssl_key|/etc/mysql/server-key.pem|

+---------------+----------------------------+

方法2:这里也可以直接安装openssl的0.9.8x版本进行证书生成。 

wget http://www.openssl.org/source/openssl-0.9.8x.tar.gz

tar xvfz openssl-0.9.8x.tar.gz

cd openssl-0.9.8x

./config--prefix=/usr/local/openssl-0.9.8

make

make install

本文是通过方法1来进行解决的。

到此在主上的操作完成，再生成一个复制帐号:REQUIRE SSL

GRANTREPLICATION SLAVEON*.*TO'rep'@'192.168.200.%' IDENTIFIED BY'123456'REQUIRE SSL;

接着就去从上配置。之前已经把生成的证书给了从服务器，那么在配置之前可以用SSL连接主服务器试试:

$mysql--ssl-ca=ca-cert.pem--ssl-cert=client-cert.pem--ssl-key=client-key.pem -h192.168.200.245 -urep -p

Enter password:

SSL error: Unableto get privatekeyfrom'client-key.pem'

ERROR 2026 (HY000): SSL connection error

同理，也是SSL的问题导致的，重新生成client-key.pem，方法同重新生成server-key.pem一样:

openssl rsa-in client-key.pem-outclient-key.pem

继续用SSL测试连接:

$mysql--ssl-ca=ca-cert.pem--ssl-cert=client-cert.pem--ssl-key=client-key.pem -h192.168.200.245 -urep -p

Enter password:

Welcome to the MySQL monitor. Commandsendwith ;or \g.

Your MySQL connection idis763

Server version:5.5.35-0ubuntu0.12.04.2-log (Ubuntu)

Copyright (c) 2000,2014, Oracleand/or its affiliates.All rightsreserved.

Oracle is a registered trademarkof OracleCorporationand/or its

affiliates. Other names maybetrademarksof their respective

owners.

Type 'help;'or'\h'for help. Type'\c'to clear thecurrent input statement.

mysql> \s

--------------

mysql Ver14.14 Distrib5.5.37,for debian-linux-gnu (x86_64)using readline6.2

Connection id: 763

Currentdatabase:

Currentuser:rep@192.168.200.212

SSL: Cipher in use is DHE-RSA-AES256-SHA

Current pager: stdout

Using outfile: ''

Using delimiter: ;

Server version:5.5.35-0ubuntu0.12.04.2-log (Ubuntu)

Protocol version:10

Connection: 192.168.200.245 via TCP/IP

Server characterset: utf8mb4

Db characterset: utf8mb4

Client characterset: utf8

Conn. characterset: utf8

TCP port: 3306

Uptime: 22min52 sec

Threads: 3 Questions:2325 Slowqueries:1 Opens:7483 Flush tables:1Open tables:100 Queries per secondavg:1.694

SSL测试连接成功，并且登入的SSL协议是: Cipher in useisDHE-RSA-AES256-SHA

继续在从上配置SSL:

ssl

ssl-ca=/etc/mysql/ca-cert.pem

ssl-cert=/etc/mysql/client-cert.pem

ssl-key=/etc/mysql/client-key.pem

查看SSL是否被支持:

>show variableslike'%ssl%';

+---------------+----------------------------+

| Variable_name| Value|

+---------------+----------------------------+

| have_openssl| YES|

| have_ssl| YES|

| ssl_ca|/etc/mysql/ca-cert.pem|

| ssl_capath||

| ssl_cert|/etc/mysql/client-cert.pem|

| ssl_cipher||

| ssl_key|/etc/mysql/client-key.pem|

+---------------+----------------------------+

从上SSL也被正确支持，那么最后开始配置主从replicate。 在从上CHANGE:

CHANGE MASTERTO MASTER_HOST='192.168.200.245', MASTER_USER='rep',MASTER_PASSWORD='123456', MASTER_LOG_FILE='mysql-bin.000042', MASTER_LOG_POS=521,MASTER_SSL=1,MASTER_SSL_CA='/etc/mysql/ca-cert.pem',MASTER_SSL_CERT='/etc/mysql/client-cert.pem',MASTER_SSL_KEY='/etc/mysql/client-key.pem'

测试:

M:

>createtable tmp_1229(idint,namevarchar(100))default charset utf8;

>insertinto tmp_1229values(1,'a'),(2,'b'),(3,'c');

>select*from tmp_1229;

+------+------+

| id| name|

+------+------+

|1| a|

|2| b|

|3| c|

+------+------+

S:

>select*from tmp_1229;

+------+------+

| id| name|

+------+------+

|1| a|

|2| b|

|3| c|

+------+------+

 

以上同步成功。

总结:

SSL(Secure Sockets Layer安全套接层),及其继任者传输层安全(Transport Layer Security，TLS)是为网络通信提供安全及数据完整性的一种安全协议。复制默认是明文进行传输的，通过SSL加密可以大大提高数据的安全性。在上面的过程中，遇到一些问题:

1:openssl版本问题引起的证书不可用，文中已经说明解决办法。

2:MariaDB证书的不可用，原因是生成服务端客户端证书的时候输入一致导致的，文中也说明了解决办法。

3:要是配置有问题，在用SSL登陆的时候，可以发现错误信息，可以直接定位到哪里出问题。

ssl登陆:

mysql--ssl-ca=ca-cert.pem--ssl-cert=client-cert.pem--ssl-key=client-key.pem -h192.168.200.245 -urep -p

4:在配置MariaDB的时候，在生成证书的时候可以直接先验证，查看是否有问题。

验证:

openssl verify-CAfile/etc/mysql/ca-cert.pem/etc/mysql/server-cert.pem/etc/mysql/client-cert.pem

5:要是openssl版本没有问题，不需要再次通过openssl rsa再次生成，具体的安装配置方法参照本文章即可。

                                             Windows客户端连接

在这我使用的是navicat-premium11.1

打开数据库管理工具后点击左上角的新建连接，选择mysql之后我们点击常规选项数据我们数据库的地址账户名与密码然后再点击ssl，进去之后把我们在server端生成的ca.pem(CA证书),client-cert.pem（客户端证书）,client-key.pem（客户端秘钥）t填入进去即可，单机测试连接显示测试成功。

                                           linux客户端连接

配置好mysql客户端的配置文件后我们 mysql --ssl-ca=ca.pem--ssl-cert=client-cert.pem --ssl-key=client-key.pem -h192.168.1.115 -utest1 -p进行连接服务器

 

 

IT黑旋风
关注
专栏目录
MySQL配置SSL主从复制
09-09
MySQL配置SSL主从复制是为了确保数据在主从节点之间的传输是安全的，通过加密通信防止数据在传输过程中被窃取或篡改。SSL（Secure Sockets Layer）是一种广泛使用的网络安全协议，可以为网络通信提供加密处理，确保...
[ERROR] SSL error: Unable to get private key from 'server-key.pem'
HeatherYun的专栏
03-31 8472
不知道称之为必现OR偶然问题 遇到这个问题的环境是CentOS7 MINI & MySQL5.7.11 根据INSTALL_BINARY安装之后，SSL也装了 shell> bin/mysql_ssl_rsa_setup # MySQL 5.7.6 and up #这一步是依据指示安装的 然后启动的时候，报了两个错，一个是“keyring_file
windows下mysql连接出现的问题
道亦无名
12-09 7507
这个client does not support authentication protocol requested by server consider…看样子是是说考虑升级客户端。但是通过其他的方式也是可以解决的。 通过mysql workbench 运行sql语句也是可以解决掉的。 如下所示 ALTER USER 'root'@'localhost' IDENTIFIED WITH mys...
MySQL 开启SSL无效问题
baidu_16250655的博客
08-02 1492
MySQL开启SSL失败
centos7下重启MySQL5.7.19报错SSL error ；Fatal error
chichentang1598的博客
07-27 345
重启mysql [root@yuhai ~]# systemctl restart mysqld Job for mysqld.service failed because the control process exited with error code. See "systemctl ...
SSL Error: Unable to verify the first certificate(已解决)
热门推荐
weixin_43650943的博客
12-30 2万+
记录一次解决的由ssl证书带来的问题，以及解决历程。 问题的产生的原因是这样的，客户想给项目迁移服务器。也是按照之前服务器的配置方式，tomcat、jdk、nginx、maven等等也是用过 scp命令进行同步的，因为用scp命令能保证 文件的权限也不会变。客户这面也提供了 https的ssl证书，一切都准备就绪了，部署完也都可以正常访问。看起来一切都是那么顺利。 紧接着就是跟 项目的第三方百世仓进行测试联调，结果出现了问题，百世仓通过https访问我们服务器的接口出现了超时的情况，于是我自己用postma
Linux系统安装通用MySQL8，及主从配置.7z
最新发布
10-08
以下将详细介绍如何在Linux环境下安装MySQL8以及设置主从复制。 ### 安装MySQL8 1. **更新系统**: 首先，确保你的Linux系统是最新的，通过运行`sudo apt-get update`（对于基于Debian的系统）或`yum update`（对于...
linux系统中使用openssl实现mysql主从复制
09-09
以下是如何在Linux环境下通过openssl配置MySQL主从复制的详细步骤： 首先，我们需要准备证书。证书是SSL/TLS加密的基础，它包含了公钥和身份信息。这里我们分为两部分：CA（证书权威）证书和MySQL服务器证书。 1. ...
MySQL主从复制配置文档
08-08
以下是关于MySQL主从复制及其在Linux环境下编译安装配置的详细知识： 1. **主从复制的基本概念** - 主节点：执行所有写操作（INSERT、UPDATE、DELETE等）的服务器，其更改的数据会同步到从节点。 - 从节点：接收...
分享MySQL关闭SSL的简单方法
hdxx2022的博客
08-02 2258
以上为个人经验，希望能给大家一个参考，也希望对大家有所帮助。
MySQL命令行连接远程数据库报error:0A000102:SSL routines::unsupported protocol
thekenofDIS的专栏
09-06 2581
mysql -h xxx.xxx.xxx.xxx -P 3306 -u root -p'密码' --ssl-mode=DISABLED。使用--ssl-mode=DISABLED参数即可。
关于 连接mysql报错“ssl connection error：unknow error number” 的解决方法
03-21 2万+
在公司2台电脑做了测试没有问题，但是现场连接发现问题ssl问题，而公司的服务器也是开启了ssl没有问题，目标机ssl也是yes但是有问题，报错”ssl connection error：unknow error number“。
mysql连接失败error msg:Failed to start connection pool -- SSL connection error: protocol version mismatc
公子小杰的博客
06-17 3782
mysql连接失败，报错error msg:Failed to start connection pool -- SSL connection error: protocol version mismatch
Linux配置mysql数据库SSL加密
tanqingfu1的博客
01-20 5140
一、SSL介绍 SSL（Secure Socket Layer：安全套接字层）利用数据加密、身份验证和消息完整性验证机制，为基于TCP等可靠连接的应用层协议提供安全性保证。 SSL协议提供的功能主要有： 1、数据传输的机密性：利用对称密钥算法对传输的数据进行加密。 2.、身份验证机制：基于证书利用数字签名方法对服务器和客户端进行身份验证，其中客户端的身份验证是可选的。 3、消息完整性验证：消息传输过程中使用MAC算法来检验消息的完整性。...
解决：如何在linux上安装mysql数据库
Along_168163的博客
03-22 732
mysql安装
mysql 5.7使用ssl连接
huangliang0703的专栏
03-29 970
1、使用脚本工具生成密钥文件 -rw-r--r--. 1 root root 451 11月 28 12:26 public_key.pem -rw-------. 1 root root 1.7K 11月 28 12:26 private_key.pem -rw-r--r--. 1 root root 1.1K 11月 28 12:26 client-cert.pem
项目系统安全优化一(linux，mysql)
xueshanfeitian的博客
11-05 1万+
linux系统优化 修改系统日志记录周期 vim /etc/logrotate.conf 重启后生效 systemctl restart rsyslog 内存历史登录命令限制 vim /etc/profile 让配置生效: source /etc/profile 密码保护措施优化 vim /etc/login.defs 用户在新建文件或目录的权限 vim /etc/login.defs 限制登录ip 限制登录可分别从服务端，系统端、防火墙端来完成只允许固定ip进行登录。 服务端限制
Mysql启用SSL以及JDBC连接Mysql配置
敲代码的文科生的博客
11-25 7310
一、Mysql启用SSL配置 1.检查mysql是否支持ssl 在linux端用root账号进入mysql命令行界面，查看当前版本mysql数据库是否支持ssl，如果出现以下结果表示支持，如果没有考虑更换版本，或者编译一个带有SSL版本的mysql shell>show variables like ‘%ssl%’; 2.设置用户是否使用ssl连接 1.查看用户是否使用SSL连接 she...
MySQL5.7 linux系统配置ssl和ssl方式登录
灵魂自由的忙人
05-30 2524
MySQL5.7配置ssl在my.cnf配置文件中的[mysqld]选项下增加[mysqld]ssl-ca=/var/lib/mysql/data/ca.pemssl-cert=/var/lib/mysql/data/server-cert.pemssl-key=/var/lib/mysql/data/server-key.pem创建用户必须使用ssl方式登录alter user@'%' requ...
Linux下利用OpenSSL搭建MySQL主从SSL复制教程
本文主要介绍了如何在Linux系统中使用OpenSSL工具实现MySQL主从复制，并确保通过SSL加密进行安全的数据传输。整个过程分为几个关键步骤： 1. **证书准备**: - **CA证书**: - 创建CA（Certification Authority）...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值