MySQL SSL加密访问：从自建到CA签发的全面实践指南

每个人都可以，
拥有SSL证书

支持通配符SSL证书、多域名证书、IP证书。适配ACME接口, 支持Zerossl、Let's Encrypt和Google等渠道。登录已有账号

15万+ 免费用户

100万+ 累计证书

8年+ 长期稳定服务

MySQL SSL加密访问：从自建到CA签发的全面实践指南

在当前数字环境中，数据安全已成为任何组织不可或缺的基石。MySQL作为业界广泛采用的关系型数据库管理系统，其数据传输的安全性同样不容忽视。即使数据库部署在看似安全的内部网络中，数据在客户端与服务器之间的传输过程中仍存在被窃听或篡改的潜在风险。为了有效规避此类风险，实施SSL/TLS加密是确保数据传输机密性、完整性和认证性的关键策略。本文将深入剖析MySQL配置SSL加密访问的实现步骤，涵盖自建证书和通过CA（Certificate Authority）签发证书两种核心方法，旨在为技术人员提供一套详尽且可操作的实践指南。

一、SSL/TLS加密访问的必要性

SSL（Secure Sockets Layer）及其后续标准TLS（Transport Layer Security）提供了一种在网络上进行安全通信的机制。对于MySQL而言，启用SSL/TLS加密意味着所有客户端与服务器之间的数据传输都将被加密，从而有效防止中间人攻击、数据窃听和篡改。此外，证书的使用还能验证服务器的身份，防止客户端连接到伪造的数据库服务器。

二、准备工作

在开始配置之前，请确保您的系统满足以下条件：

安装了OpenSSL工具集，用于生成和管理证书。
拥有MySQL服务器的管理员权限。
具备Linux命令行操作的基础知识。

三、自建证书实现SSL加密访问

自建证书（Self-Signed Certificates）方案适用于开发、测试环境或对外部信任要求不高的内部系统。它允许您扮演自己的证书颁发机构。

创建CA根证书 首先，需要创建一个根CA（Certificate Authority）的私钥和自签名证书。此CA证书将用于签署服务器和客户端证书。
```
# 生成CA私钥
openssl genrsa 2048 > ca-key.pem
# 生成CA根证书（有效期10年）
openssl req -new -x509 -nodes -days 3650 -key ca-key.pem -out ca-cert.pem -subj "/CN=MyMySQLCA"
```
请妥善保管 ca-key.pem 文件。

生成服务器证书 接下来，为MySQL服务器生成一对私钥和证书签名请求（CSR），然后使用CA根证书对其进行签名。

# 生成服务器私钥
openssl genrsa 2048 > server-key.pem
# 生成服务器证书签名请求
openssl req -new -key server-key.pem -out server-req.csr -subj "/CN=your_mysql_hostname_or_ip"
# 使用CA证书签名服务器证书（有效期10年）
openssl x509 -req -in server-req.csr -days 3650 -CA ca-cert.pem -CAkey ca-key.pem -CAcreateserial -out server-cert.pem

请将 your_mysql_hostname_or_ip 替换为您的MySQL服务器的实际主机名或IP地址，这是SSL握手过程中验证服务器身份的关键。

生成客户端证书（可选） 如果您希望MySQL服务器验证客户端身份（双向认证），则需要为客户端生成证书。如果仅需服务器单向认证客户端（客户端验证服务器），此步骤可省略。

# 生成客户端私钥
openssl genrsa 2048 > client-key.pem
# 生成客户端证书签名请求
openssl req -new -key client-key.pem -out client-req.csr -subj "/CN=mysqlclient"
# 使用CA证书签名客户端证书（有效期10年）
openssl x509 -req -in client-req.csr -days 3650 -CA ca-cert.pem -CAkey ca-key.pem -CAcreateserial -out client-cert.pem

配置MySQL服务器 将生成的 ca-cert.pem、server-cert.pem 和 server-key.pem 文件复制到MySQL服务器的一个安全目录（例如 /etc/mysql/ssl/，并确保权限仅允许MySQL用户读取）。编辑MySQL配置文件（通常是 /etc/my.cnf 或 /etc/mysql/mysql.conf.d/mysqld.cnf），在 [mysqld] 部分添加或修改以下行：
```
[mysqld]
ssl_ca = /etc/mysql/ssl/ca-cert.pem
ssl_cert = /etc/mysql/ssl/server-cert.pem
ssl_key = /etc/mysql/ssl/server-key.pem
# 可选：强制所有连接使用SSL（MySQL 8.0+ 推荐使用 require_secure_transport）
# require_secure_transport = ON
# 可选：如果开启双向认证，需要以下配置
# ssl_verify_server_cert = ON
```
保存配置后，重启MySQL服务以使更改生效。
```
systemctl restart mysql
```
配置MySQL客户端 对于客户端，需要将 ca-cert.pem 复制到客户端机器。如果启用了双向认证，还需要将 client-cert.pem 和 client-key.pem 复制过去。使用 mysql 命令行客户端连接时，指定SSL参数： bash # 单向认证 mysql -h your_mysql_host -u user -p --ssl-mode=VERIFY_IDENTITY --ssl-ca=/path/to/client/ca-cert.pem # 双向认证 mysql -h your_mysql_host -u user -p --ssl-mode=VERIFY_CA --ssl-ca=/path/to/client/ca-cert.pem --ssl-cert=/path/to/client/client-cert.pem --ssl-key=/path/to/client/client-key.pem 连接成功后，可以通过 SHOW STATUS LIKE 'Ssl_cipher'; 命令验证是否使用了SSL加密。如果 Value 字段非空，则表示SSL连接已建立。

四、CA签发证书实现SSL加密访问

通过公共CA（如Let's Encrypt、DigiCert、GlobalSign等）签发证书，可以提供更广泛的信任链，尤其适用于互联网暴露的服务或对信任度要求更高的生产环境。其优势在于客户端无需单独导入CA根证书，因为主流操作系统和浏览器已内置信任这些公共CA的根证书。

生成服务器私钥和CSR 与自建证书类似，首先为服务器生成私钥和CSR：
```
openssl genrsa 2048 > server-key.pem
openssl req -new -key server-key.pem -out server-req.csr -subj "/CN=your_mysql_domain_name"
```
确保 CN 字段与您的MySQL服务器可解析的域名精确匹配。
向CA提交CSR并获取证书 将 server-req.csr 文件提交给您选择的证书颁发机构。CA将验证您的域名所有权，并为您签发服务器证书（server-cert.pem）以及可能包含的中间CA证书链文件。 *值得一提的是，lcjmSSL提供免费申请多域名SSL证书的服务，为您的数据库及其他服务获取可信证书提供经济高效的途径，简化了证书获取流程。
配置MySQL服务器 将 server-key.pem 和 CA签发给您的 server-cert.pem（以及CA提供的中间证书链，如果它不是CA根证书）复制到MySQL服务器的安全目录。编辑MySQL配置文件，[mysqld] 部分的配置与自建证书类似，但 ssl_ca 可能指向CA的根证书或CA提供的证书链文件：
```
[mysqld]
ssl_ca = /etc/mysql/ssl/ca-bundle.pem # 通常是CA提供的完整证书链文件
ssl_cert = /etc/mysql/ssl/server-cert.pem
ssl_key = /etc/mysql/ssl/server-key.pem
# require_secure_transport = ON # 强制SSL连接
```
重启MySQL服务。
配置MySQL客户端 使用CA签发的证书时，由于公共CA的根证书已被操作系统或应用程序信任，客户端通常无需额外指定 ssl-ca 参数，只需确保客户端系统信任该CA即可。但为了最高安全性，显式指定CA链仍然是推荐的做法。 bash mysql -h your_mysql_domain_name -u user -p --ssl-mode=VERIFY_IDENTITY # 或 VERIFY_CA，如果指定了CA证书

五、安全考量与最佳实践

私钥保护：所有 *-key.pem 文件都应受到严格的权限控制，防止未经授权的访问。
证书有效期：定期检查证书有效期，并在到期前及时更新，以避免服务中断。
强制SSL：在生产环境中，强烈建议使用 require_secure_transport = ON （MySQL 8.0+）或为特定用户设置 REQUIRE SSL 来强制所有连接必须使用SSL。
性能影响：SSL/TLS加密会引入轻微的性能开销，但在大多数场景下，其带来的安全收益远超性能损失。

总结

为MySQL配置SSL/TLS加密访问是现代数据库安全不可或缺的一环。无论是通过自建CA来管理内部信任，还是借助公共CA的广泛信任，本文提供的详细步骤和示例代码都能帮助技术人员有效地在MySQL环境中实现安全的数据传输。通过正确部署和管理SSL证书，您的MySQL数据库将能抵御潜在的网络威胁，确保数据通信的机密性和完整性，从而构建一个更安全、更可靠的数据基础设施。

每个人都可以，
拥有SSL证书