MySQL配置SSL加密访问的实现步骤

# 1. 进入MySQL数据目录（需确认目录权限，通常为/var/lib/mysql/）
cd /var/lib/mysql
chown mysql:mysql .  # 确保mysql用户有读写权限
 
# 2. 生成SSL证书（--datadir指定证书存放目录）
mysql_ssl_rsa_setup --datadir=/var/lib/mysql --uid=mysql
 
# 3. 查看生成的证书文件（关键文件如下）
ls -l /var/lib/mysql/*.pem
# 核心文件说明：
# ca.pem          → CA根证书（客户端需信任）
# server-cert.pem → 服务端证书
# server-key.pem  → 服务端私钥
# client-cert.pem → 客户端证书
# client-key.pem  → 客户端私钥

# 1. 创建证书目录（建议与MySQL数据目录分离）
mkdir -p /etc/mysql/ssl
chown mysql:mysql /etc/mysql/ssl
cd /etc/mysql/ssl
 
# 2. 生成CA根证书（有效期10年）
openssl genrsa 2048 > ca-key.pem
openssl req -new -x509 -nodes -days 3650 -key ca-key.pem > ca.pem
 
# 3. 生成服务端证书（填写信息时，Common Name需为MySQL服务端IP/域名）
openssl req -newkey rsa:2048 -days 3650 -nodes -keyout server-key.pem > server-req.pem
openssl rsa -in server-key.pem -out server-key.pem
openssl x509 -req -in server-req.pem -days 3650 -CA ca.pem -CAkey ca-key.pem -set_serial 01 > server-cert.pem
 
# 4. 生成客户端证书（Common Name可任意，建议区分服务端）
openssl req -newkey rsa:2048 -days 3650 -nodes -keyout client-key.pem > client-req.pem
openssl rsa -in client-key.pem -out client-key.pem
openssl x509 -req -in client-req.pem -days 3650 -CA ca.pem -CAkey ca-key.pem -set_serial 02 > client-cert.pem
 
# 5. 调整权限（仅mysql用户可读写，防止私钥泄露）
chmod 600 *.pem
chown mysql:mysql *.pem

[mysqld]
# 启用SSL（强制服务端使用SSL）
ssl=ON
# 指定证书路径（根据实际生成路径修改）
ssl-ca=/var/lib/mysql/ca.pem          # CA根证书
ssl-cert=/var/lib/mysql/server-cert.pem  # 服务端证书
ssl-key=/var/lib/mysql/server-key.pem    # 服务端私钥
 
# 可选：强制所有客户端连接必须使用SSL（生产环境建议开启）
# require_secure_transport=ON
 
# 可选：指定SSL协议版本（避免老旧协议，生产环境建议）
tls_version=TLSv1.2,TLSv1.3

# Linux（Systemd）
systemctl restart mysqld
 
# Linux（SysV）
service mysqld restart
 
# Windows
net stop mysql && net start mysql

-- 查看SSL状态（Ssl_enabled为YES表示启用成功）
SHOW VARIABLES LIKE '%ssl%';
/* 预期输出：
+---------------+---------------------------+
| Variable_name | Value                     |
+---------------+---------------------------+
| have_ssl      | YES                       |
| ssl_ca        | /var/lib/mysql/ca.pem     |
| ssl_cert      | /var/lib/mysql/server-cert.pem |
| ssl_key       | /var/lib/mysql/server-key.pem   |
+---------------+---------------------------+
*/

# MySQL客户端命令行连接（替换为你的IP/端口/用户名）
mysql -h 192.168.1.100 -P 3306 -u root -p \
  --ssl-mode=REQUIRED \
  --ssl-ca=/var/lib/mysql/ca.pem \
  --ssl-cert=/var/lib/mysql/client-cert.pem \
  --ssl-key=/var/lib/mysql/client-key.pem

-- 授权root用户仅能通过SSL从任意主机访问（替换为你的用户/IP）
GRANT ALL PRIVILEGES ON *.* TO 'root'@'%' IDENTIFIED BY '你的密码' REQUIRE SSL;
 
-- 刷新权限
FLUSH PRIVILEGES;
 
-- 查看用户的SSL权限（Ssl_type为SSL表示强制）
SELECT user, host, ssl_type FROM mysql.user WHERE user='root';

[client]
host=192.168.1.100
port=3306
user=root
password=你的密码
ssl-mode=REQUIRED
ssl-ca=/var/lib/mysql/ca.pem
ssl-cert=/var/lib/mysql/client-cert.pem
ssl-key=/var/lib/mysql/client-key.pem

-- 查看当前连接的SSL状态（Ssl_cipher非空表示加密生效）
SHOW STATUS LIKE 'Ssl_cipher';
/* 预期输出：
+---------------+-----------------------------+
| Variable_name | Value                       |
+---------------+-----------------------------+
| Ssl_cipher    | TLS_AES_256_GCM_SHA384      |
+---------------+-----------------------------+
*/