转自:
https://www.docs4dev.com/docs/zh/mysql/5.7/reference/creating-ssl-files-using-openssl.html#creating-ssl-files-using-openssl-unix-command-line
https://www.docs4dev.com/docs/zh/mysql/5.7/reference/using-encrypted-connections.html
示例 1:在 Unix 上从命令行创建 SSL 文件
以下示例显示了一组用于创建 MySQL 服务器和 Client 端证书以及密钥文件的命令。您将需要通过 openssl 命令来响应多个提示。要生成测试文件,可以按 Enter 键进入所有提示。要生成供生产使用的文件,应提供非空响应。
# Create clean environment rm -rf newcerts mkdir newcerts && cd newcerts # Create CA certificate openssl genrsa 2048 > ca-key.pem openssl req -new -x509 -nodes -days 3600 -key ca-key.pem -out ca.pem # Create server certificate, remove passphrase, and sign it # server-cert.pem = public key, server-key.pem = private key openssl req -newkey rsa:2048 -days 3600 -nodes -keyout server-key.pem -out server-req.pem openssl rsa -in server-key.pem -out server-key.pem openssl x509 -req -in server-req.pem -days 3600 -CA ca.pem -CAkey ca-key.pem -set_serial 01 -out server-cert.pem # Create client certificate, remove passphrase, and sign it # client-cert.pem = public key, client-key.pem = private key openssl req -newkey rsa:2048 -days 3600 -nodes -keyout client-key.pem -out client-req.pem openssl rsa -in client-key.pem -out client-key.pem openssl x509 -req -in client-req.pem -days 3600 -CA ca.pem -CAkey ca-key.pem -set_serial 01 -out client-cert.pem
生成证书后,请验证它们:
openssl verify -CAfile ca.pem server-cert.pem client-cert.pem
您应该看到这样的响应:
server-cert.pem: OK
client-cert.pem: OK
要查看证书的内容(例如,检查证书有效的日期范围),请像下面这样调用 openssl :
openssl x509 -text -in ca.pem openssl x509 -text -in server-cert.pem openssl x509 -text -in client-cert.pem
现在,您可以使用一组文件,如下所示:
-
ca.pem
:使用它来设置服务器端的ssl_ca系统变量和 Client 端端的--ssl-ca选项。 (如果使用了 CA 证书,则双方必须相同.) -
server-cert.pem
,server-key.pem
:使用它们来设置服务器端的ssl_cert和ssl_key系统变量。 -
client-cert.pem
,client-key.pem
:将它们用作 Client 端上--ssl-cert和--ssl-key选项的参数。
加密连接的服务器端启动配置
在服务器端,--ssl选项指定服务器允许但不需要加密连接。默认情况下启用此选项,因此无需显式指定。
要要求 Client 端使用加密连接进行连接,请启用require_secure_transport系统变量。参见将加密连接配置为强制性。
服务器端的这些系统变量指定允许 Client 端构建加密连接时服务器使用的证书和密钥文件:
-
ssl_ca:证书颁发机构(CA)证书文件的路径名。 (ssl_capath类似,但指定了 CA 证书文件目录的路径名。)
-
ssl_cert:服务器公用密钥证书文件的路径名。可以将此证书发送到 Client 端,并根据其拥有的 CA 证书进行身份验证。
-
ssl_key:服务器私钥文件的路径名。
例如,要为服务器启用加密连接,请在my.cnf
文件中以以下几行启动它,并根据需要更改文件名:
[mysqld] ssl_ca=ca.pem ssl_cert=server-cert.pem ssl_key=server-key.pem