☰

已为 SSL 配置 MySQL，但 SSL 仍然处于禁用状态..！

tag-icon • tag-icon mysql ssl ssl-certificate encryption
已为 SSL 配置 MySQL，但 SSL 仍然处于禁用状态..！

我使用以下脚本为 MySQL 配置了 SSL。

#!/bin/bash
#
mkdir -p /root/abc/ssl_certs
cd /root/abc/ssl_certs
#
echo "--> 1. Create CA cert, private key"
openssl genrsa 2048 > ca-key.pem

echo "--> 2. Create CA cert, certificate"
openssl req -new -x509 -nodes -days 1000 -key ca-key.pem > ca-cert.pem

echo "--> 3. Create Server certificate, key"
openssl req -newkey rsa:2048 -days 1000 -nodes -keyout server-key.pem > server-req.pem

echo "--> 4. Create Server certificate, cert"
openssl x509 -req -in server-req.pem -days 1000 -CA ca-cert.pem -CAkey ca-key.pem -set_serial 01 > server-cert.pem
echo ""
echo 
echo ""

echo "--> 5. Create client certificate, key. Use DIFFERENT common name then server!!!!"
echo ""
openssl req -newkey rsa:2048 -days 1000 -nodes -keyout client-key.pem > client-req.pem
echo "6. Create client certificate, cert"
openssl x509 -req -in client-req.pem -days 1000 -CA ca-cert.pem -CAkey ca-key.pem -set_serial 01 > client-cert.pem
exit 0

创建了以下文件：

ca-key.pem             ca-cert.pem
server-req.pem         server-key.pem       server-cert.pem
client-req.pem         client-key.pem       client-cert.pem

然后我将 server-cert.pem 和 client-cert.pem 合并为 ca.pem（我在一篇文章中读到如何这样做..）

我在 MySQL 中创建了一个 ssl 用户：

GRANT ALL ON  *.* to sslsuer@hostname IDENTIFIED BY 'pwd' REQUIRE SSL;

接下来我在 my.cnf 中添加了以下内容

[mysqld]
ssl-ca          = /root/abc/ssl_certs/ca.pem
ssl-cert        = /root/abc/ssl_certs/server-cert.pem
ssl-key         = /root/abc/ssl_certs/server-key.pem

重新启动服务器后，我连接到了 mysql，但 SSL 仍然未被使用 :(

mysql -u ssluser -p

SSL:                    Not in use

甚至 have_ssl 参数仍然显示为已禁用.. :(

mysql> show variables like '%ssl%';
+---------------+---------------------------------------------+
| Variable_name | Value                                       |
+---------------+---------------------------------------------+
| have_openssl  | DISABLED                                    |
| have_ssl      | DISABLED                                    |
| ssl_ca        | /root/abc/ssl_certs/ca.pem          |
| ssl_capath    |                                             |
| ssl_cert      | /root/abc/ssl_certs/server-cert.pem |
| ssl_cipher    |                                             |
| ssl_key       | /root/abc/ssl_certs/server-key.pem  |
+---------------+---------------------------------------------+

我是否错过了任何步骤，或者出了什么问题..

如能详细解答遗漏的步骤，我们将不胜感激。

答案1

请参阅此处的解决方案： https://askubuntu.com/questions/194074/enabling-ssl-in-mysql

您需要将证书转换为旧格式：

openssl rsa -in client-key.pem -out client-key.pem
openssl rsa -in server-key.pem -out server-key.pem

答案2

尝试检查一下：

  • 使能够警告输出日志MySQL，并读取那些实际的日志条目。
  • 检查文件系统权限，让运行 MySQL 的用户（mysql？）读取文件。/root我认为默认情况下没有。
  • Apparmor 或 SELinux 是否阻止 MySQL 读取证书和密钥？
  • 您可能遇到了最近 OpenSSL 与 MySQL 不兼容的严重错误。我无法在 Ubuntu 12.04 上生成 MySQL 可以读取的密钥，而我在 Debian Squeeze 上生成的密钥可以正常工作。

答案3

在 Ubuntu 上，你可以检查是否apparmor阻止访问你的证书文件，参见手册。

然后你应该检查文件权限/所有权并添加必要的权限/etc/apparmor.d/usr.sbin.mysqld。参见线。

答案4

Pavel Bernshtam 提出了完美的解决方案

openssl rsa -in client-key.pem -out client-key.pem
openssl rsa -in server-key.pem -out server-key.pem

但我还需要将所有者分配给 certs 文件夹，否则 mysql 无法读取密钥文件

chown -R mysql:mysql /path/to/certs

相关内容