web-dev-qa-db-ja.com

MySQLをSSL用に構成しましたが、SSLはまだ無効になっています。

次のスクリプトを使用してMySQLのSSLを構成しました。

#!/bin/bash
#
mkdir -p /root/abc/ssl_certs
cd /root/abc/ssl_certs
#
echo "--> 1. Create CA cert, private key"
openssl genrsa 2048 > ca-key.pem

echo "--> 2. Create CA cert, certificate"
openssl req -new -x509 -nodes -days 1000 -key ca-key.pem > ca-cert.pem

echo "--> 3. Create Server certificate, key"
openssl req -newkey rsa:2048 -days 1000 -nodes -keyout server-key.pem > server-req.pem

echo "--> 4. Create Server certificate, cert"
openssl x509 -req -in server-req.pem -days 1000 -CA ca-cert.pem -CAkey ca-key.pem -set_serial 01 > server-cert.pem
echo ""
echo 
echo ""

echo "--> 5. Create client certificate, key. Use DIFFERENT common name then server!!!!"
echo ""
openssl req -newkey rsa:2048 -days 1000 -nodes -keyout client-key.pem > client-req.pem
echo "6. Create client certificate, cert"
openssl x509 -req -in client-req.pem -days 1000 -CA ca-cert.pem -CAkey ca-key.pem -set_serial 01 > client-cert.pem
exit 0

次のファイルが作成されました：

ca-key.pem             ca-cert.pem
server-req.pem         server-key.pem       server-cert.pem
client-req.pem         client-key.pem       client-cert.pem

次に、server-cert.pemとclient-cert.pemをca.pemに結合しました（そのために投稿を読みました。）

MySQLでsslユーザーを作成しました：

GRANT ALL ON  *.* to sslsuer@hostname IDENTIFIED BY 'pwd' REQUIRE SSL;

次私はmy.cnfに以下を追加しました

[mysqld]
ssl-ca          = /root/abc/ssl_certs/ca.pem
ssl-cert        = /root/abc/ssl_certs/server-cert.pem
ssl-key         = /root/abc/ssl_certs/server-key.pem

サーバーを再起動した後、mysqlに接続しましたが、SSLはまだ使用されていません：（

mysql -u ssluser -p

SSL:                    Not in use

have_sslパラメータがまだ無効になっていることを示していても..：（

mysql> show variables like '%ssl%';
+---------------+---------------------------------------------+
| Variable_name | Value                                       |
+---------------+---------------------------------------------+
| have_openssl  | DISABLED                                    |
| have_ssl      | DISABLED                                    |
| ssl_ca        | /root/abc/ssl_certs/ca.pem          |
| ssl_capath    |                                             |
| ssl_cert      | /root/abc/ssl_certs/server-cert.pem |
| ssl_cipher    |                                             |
| ssl_key       | /root/abc/ssl_certs/server-key.pem  |
+---------------+---------------------------------------------+

ステップを逃したか、何が悪いのか..

詳細にステップを逃した回答は高く評価されます。

mysqlsslssl-certificateencryption
9
Sunrays

ここで解決策を参照してください： https://askubuntu.com/questions/194074/enabling-ssl-in-mysql

証明書を古い形式に変換する必要があります。

openssl rsa -in client-key.pem -out client-key.pem
openssl rsa -in server-key.pem -out server-key.pem
6
Pavel Bernshtam

これをチェックしてみてください：

  • MySQLの 警告出力ログ を有効にし、それらの実際のログエントリを読み取ります。
  • MySQLを実行しているユーザー（mysql？）がファイルを読み取れるように、ファイルシステムの権限を確認します。 /rootデフォルトではないと思います。
  • ApparmorまたはSELinuxは、MySQLが証明書とキーを読み取ることを妨げていますか？
  • 最近のOpenSSLとMySQLの非互換性の厄介なバグに見舞われる可能性があります。 MySQLが読み取れるUbuntu 12.04ではキーを生成できませんでしたが、Debian Squeezeで生成したキーは正常に機能します。
3
gertvdijk

私にはこの問題があり、それは.pemファイルの所有権を変更するのに役立ちました：

chown mysql.mysql /var/lib/mysql/*.pem  (or in your case /root/abc/ssl_certs/*.pem)

（Craig Wrightから- https://askubuntu.com/questions/194074/enabling-ssl-in-mysql ）

2
btb

Ubuntuでは、apparmorが証明書ファイルへのアクセスをブロックしているかどうかを確認できます マニュアルを参照 。

次に、ファイルの権限/所有権を確認し、必要な権限を/etc/apparmor.d/usr.sbin.mysqldに追加する必要があります。これを見てください thread 。

2
Franc Drobnič

この問題は、CA証明書、サーバーキー、サーバー証明書のファイルパスを正しく指定していないことが原因であると考えています。次の形式にする必要があります...

ssl-ca=path/to/repo/mysql-directory/path/to/pem/cacert.pem
ssl-cert=path/to/repo/mysql-directory/path/to/pem/server-cert.pem
ssl-key=path/to/repo/mysql-directory/path/to/pem/server-key.pem

つまり、mysqlインストールフォルダー内の相対パス「/ root /」ではなく、証明書とキーの完全なファイルパスが必要です。

これは私のインストールの例です：

mysql> show variables like '%ssl%';
+---------------+----------------------------------------------------------+
| Variable_name | Value                                                    |
+---------------+----------------------------------------------------------+
| have_openssl  | YES                                                      |
| have_ssl      | YES                                                      |
| ssl_ca        | C:/wamp64/bin/mysql/mysql5.7.14/etc/certs/ca.pem         |
| ssl_capath    |                                                          |
| ssl_cert      | C:/wamp64/bin/mysql/mysql5.7.14/etc/certs/server-cert.pem|
| ssl_cipher    |                                                          |
| ssl_key       | C:/wamp64/bin/mysql/mysql5.7.14/etc/certs/server-key.pem |
+---------------+----------------------------------------------------------+

追加情報については、次のリンクを参照してください。 https://dev.mysql.com/doc/connector-net/en/connector-net-tutorials-ssl.html

0
Josh

次のように、[mysqld]ファイルのmy.cnfセクションに「ssl」を追加します

ssl
ssl-ca          = /root/abc/ssl_certs/ca.pem
ssl-cert        = /root/abc/ssl_certs/server-cert.pem
ssl-key         = /root/abc/ssl_certs/server-key.pem

mysqlを再起動して、もう一度確認してください。それが動作します。

0
Pratik