1.4. 在 MariaDB 服务器上设置 TLS 加密

流程

1. 将 CA 和服务器证书存储在 /etc/pki/tls/certs/ 目录中：

   # mv <path>/server.example.com.crt.pem /etc/pki/tls/certs/
   # mv <path>/ca.crt.pem /etc/pki/tls/certs/

   Copy to Clipboard Toggle word wrap

2. 对 CA 和服务器证书设置权限，使 MariaDB 服务器能够读取文件：

   # chmod 644 /etc/pki/tls/certs/server.example.com.crt.pem /etc/pki/tls/certs/ca.crt.pem

   Copy to Clipboard Toggle word wrap

   由于证书是建立安全连接前通信的一部分，因此任何客户端都可以在不需要身份验证的情况下检索它们。因此，您不需要对 CA 和服务器证书文件设置严格的权限。

3. 将服务器的私钥存储在 /etc/pki/tls/private/ 目录中：

   # mv <path>/server.example.com.key.pem /etc/pki/tls/private/

   Copy to Clipboard Toggle word wrap

4. 对服务器的私钥设置安全权限：

   # chmod 640 /etc/pki/tls/private/server.example.com.key.pem
   # chgrp mysql /etc/pki/tls/private/server.example.com.key.pem

   Copy to Clipboard Toggle word wrap

   如果未授权的用户可以访问私钥，则到 MariaDB 服务器的连接不再安全。

5. 恢复 SELinux 上下文：

   #  restorecon -Rv /etc/pki/tls/

   Copy to Clipboard Toggle word wrap

流程

1. 创建 /etc/my.cnf.d/mariadb-server-tls.cnf 文件：

   1. 添加以下内容来配置到私钥、服务器和 CA 证书的路径：

      [mariadb]
      ssl_key = /etc/pki/tls/private/server.example.com.key.pem
      ssl_cert = /etc/pki/tls/certs/server.example.com.crt.pem
      ssl_ca = /etc/pki/tls/certs/ca.crt.pem

      Copy to Clipboard Toggle word wrap

   2. 如果您有一个证书撤销列表(CRL)，请将 MariaDB 服务器配置为使用它：

      ssl_crl = /etc/pki/tls/certs/example.crl.pem

      Copy to Clipboard Toggle word wrap

   3. 可选：拒绝没有加密的连接尝试。要启用此功能，请附加：

      require_secure_transport = on

      Copy to Clipboard Toggle word wrap

   4. 可选：设置服务器应支持的 TLS 版本。例如，要支持 TLS 1.2 和 TLS 1.3，请附加：

      tls_version = TLSv1.2,TLSv1.3

      Copy to Clipboard Toggle word wrap

      默认情况下，服务器支持 TLS 1.1、TLS 1.2 和 TLS 1.3。

2. 重启 mariadb 服务：

   # systemctl restart mariadb

   Copy to Clipboard Toggle word wrap

1. 验证 MariaDB 现在是否启用了 TLS 加密：

   # mysql -u root -p -e "SHOW GLOBAL VARIABLES LIKE 'have_ssl';"
   +---------------+-----------------+
   | Variable_name | Value           |
   +---------------+-----------------+
   | have_ssl      | YES             |
   +---------------+-----------------+

   Copy to Clipboard Toggle word wrap

   如果 have_ssl 变量设置为 yes，则启用 TLS 加密。

2. 如果您将 MariaDB 服务配置为只支持特定的 TLS 版本，则显示 tls_version 变量：

   # mysql -u root -p -e "SHOW GLOBAL VARIABLES LIKE 'tls_version';"
   +---------------+-----------------+
   | Variable_name | Value           |
   +---------------+-----------------+
   | tls_version   | TLSv1.2,TLSv1.3 |
   +---------------+-----------------+

   Copy to Clipboard Toggle word wrap

流程

1. 以管理员用户身份连接到 MariaDB 服务器：

   # mysql -u root -p -h server.example.com

   Copy to Clipboard Toggle word wrap

   如果您的管理用户没有远程访问服务器的权限，请在 MariaDB 服务器上执行命令，并连接到 localhost。

2. 使用 REQUIRE SSL 子句强制用户必须使用 TLS 加密连接进行连接：

   MariaDB [(none)]> ALTER USER 'example'@'%' REQUIRE SSL;

   Copy to Clipboard Toggle word wrap

验证

1. 使用 TLS 加密，以 example 用户身份连接到服务器：

   # mysql -u example -p -h server.example.com --ssl
   ...
   MariaDB [(none)]>

   Copy to Clipboard Toggle word wrap

   如果没有显示错误，且您可以访问交互式 MariaDB 控制台，则与 TLS 的连接成功。

2. 尝试以禁用 TLS 的 example 用户身份进行连接：

   # mysql -u example -p -h server.example.com --skip-ssl
   ERROR 1045 (28000): Access denied for user 'example'@'server.example.com' (using password: YES)

   Copy to Clipboard Toggle word wrap

   服务器拒绝登录尝试，因为此用户需要 TLS，但被禁用了(--skip-ssl)。