پیکربندی اتصالات SSL در MySQL

مقدمه

این سند توضیح می‌دهد چگونه سرور خود را برای استفاده از SSL در اتصالات MySQL پیکربندی کنید. پس از امن‌سازی اتصالات MySQL، کاربران مخرب نمی‌توانند ترافیک MySQL شما را رهگیری کنند.

نکات مهم:

• شما باید دسترسی root به هر دو سرور کلاینت و هاست داشته باشید تا این آموزش کامل شود.
• نسخه MariaDB 11.4 به صورت خودکار سرور را با یک گواهی خودامضا (Self-Signed Certificate) پیکربندی می‌کند. اگر می‌خواهید سرور را با یک گواهی SSL امضا شده پیکربندی کنید، دستورالعمل‌های این سند را دنبال کنید.

پیکربندی اتصالات SSL در MySQL

۱. ایجاد دایرکتوری برای ذخیره کلیدهای SSL

برای ایجاد دایرکتوری که کلیدهای SSL را در خود ذخیره کند:

1. از طریق SSH به سرور وارد شوید. (برای اطلاعات بیشتر، سند SSH Access را مطالعه کنید)
2. یک دایرکتوری برای ذخیره کلیدهای SSL ایجاد کنید که MySQL بتواند به آن دسترسی داشته باشد.
   • مثال: mkdir /mysql_keys
   • این دستور یک دایرکتوری به نام mysql_keys ایجاد می‌کند.

۲. ایجاد کلیدهای SSL

توجه:

• در مثال‌ها، /mysql_keys نماینده دایرکتوری ذخیره کلیدهاست.
• Common Name (نام عمومی) گواهی‌ها و کلیدها برای کلاینت و سرور باید متفاوت از Common Name گواهی CA باشد.
• اگر یکسان باشند، خطایی مشابه زیر رخ خواهد داد: ERROR 2026 (HY000): SSL connection error: error:00000001:lib(0):func(0):reason(1)

الف) ایجاد کلیدهای Certificate Authority (CA)

openssl genrsa 2048 > /mysql_keys/ca-key.pem
openssl req -new -x509 -nodes -days 3650 -key /mysql_keys/ca-key.pem > /mysql_keys/ca-cert.pem

ب) ایجاد کلید و گواهی SSL سرور

openssl req -newkey rsa:2048 -days 3650 -nodes -keyout /mysql_keys/server-key.pem > /mysql_keys/server-req.pem
openssl x509 -req -in /mysql_keys/server-req.pem -days 3650 -CA /mysql_keys/ca-cert.pem -CAkey /mysql_keys/ca-key.pem -set_serial 01 > /mysql_keys/server-cert.pem
openssl rsa -in /mysql_keys/server-key.pem -out /mysql_keys/server-key.pem

ج) ایجاد کلید و گواهی SSL کلاینت

openssl req -newkey rsa:2048 -days 3650 -nodes -keyout /mysql_keys/client-key.pem > /mysql_keys/client-req.pem
openssl x509 -req -in /mysql_keys/client-req.pem -days 3650 -CA /mysql_keys/ca-cert.pem -CAkey /mysql_keys/ca-key.pem -set_serial 01 > /mysql_keys/client-cert.pem
openssl rsa -in /mysql_keys/client-key.pem -out /mysql_keys/client-key.pem

۳. ویرایش فایل پیکربندی MySQL

1. فایل /etc/my.cnf را با ویرایشگر متن دلخواه خود باز کنید.

بخش [mysqld] را به شکل زیر ویرایش کنید:

[mysqld]
max_connections=500
log-slow-queries
max_allowed_packet=268435456
open_files_limit=10000
default-storage-engine=MyISAM
innodb_file_per_table=1
performance-schema=0

ssl
ssl-cipher=DHE-RSA-AES256-SHA
ssl-ca=/mysql_keys/ca-cert.pem
ssl-cert=/mysql_keys/server-cert.pem
ssl-key=/mysql_keys/server-key.pem

بخش [client] را به شکل زیر ویرایش کنید:

توجه: اگر بخش [client] وجود ندارد، باید آن را ایجاد کنید.

[client]
ssl-mode=REQUIRED
ssl-cert=/mysql_keys/client-cert.pem
ssl-key=/mysql_keys/client-key.pem

توضیح:

• ssl-mode=REQUIRED باعث ایجاد اتصال رمزگذاری‌شده می‌شود اگر سرور پشتیبانی کند.
• اگر سرور نتواند اتصال رمزگذاری‌شده ایجاد کند، اتصال با خطا مواجه خواهد شد.
• این گزینه در MySQL 5.7 معرفی شده است. در MySQL 5.6 یا قدیمی‌تر، از ssl به جای ssl-mode=REQUIRED استفاده کنید.

2. تغییرات را ذخیره کرده و از ویرایشگر خارج شوید.

۴. به‌روزرسانی مجوزهای دایرکتوری کلیدها

chown -Rf mysql. /mysql_keys

۵. ریستارت سرویس MySQL

• اگر سرور cPanel & WHM دارید:

/scripts/restartsrv_mysql

تست پیکربندی SSL

الف) مشاهده وضعیت SSL در MySQL

mysql -e "show variables like '%ssl%';"

نمونه خروجی:

+---------------+------------------------+
| Variable_name | Value                  |
+---------------+------------------------+
| have_openssl  | YES                    |
| have_ssl      | YES                    |
| ssl_ca        | /mysql_keys/ca-cert.pem |
| ssl_capath    |                        |
| ssl_cert      | /mysql_keys/server-cert.pem |
| ssl_cipher    | DHE-RSA-AES256-SHA     |
| ssl_key       | /mysql_keys/server-key.pem  |
+---------------+------------------------+

ب) اتصال محلی به MySQL

mysql -u example -p

• پسورد کاربر MySQL را وارد کنید.
• سپس دستور status را اجرا کنید:

mysql> status
--------------
mysql  Ver 14.14 Distrib 5.5.42, for Linux (x86_64) using readline 5.1

Connection id:        19
Current database:  
Current user:        example@localhost
SSL:            Cipher in use is DHE-RSA-AES256-SHA
...
--------------

ایجاد کاربر و فعال‌سازی دسترسی از راه دور (اختیاری)

1. وارد cPanel شوید: Home » Databases » Manage My Databases و کاربر MySQL خود را ایجاد کنید.
2. IP سرور راه دور را در Remote Database Access اضافه کنید.
3. در سرور MySQL راه دور، دایرکتوری /mysql_keys را ایجاد کنید (اگر قبلاً ایجاد نشده):

mkdir /mysql_keys

4. گواهی SSL کلاینت را به مسیر /mysql_keys سرور راه دور منتقل کنید.
5. فایل /etc/my.cnf را در سرور راه دور باز کنید و بخش [client] را اضافه کنید:

[client]
ssl-mode=REQUIRED
ssl-cert=/mysql_keys/client-cert.pem
ssl-key=/mysql_keys/client-key.pem

6. مجوزهای دایرکتوری کلیدها را به‌روزرسانی کنید:

chown -Rf mysql. /mysql_keys

7. سرویس MySQL را ریستارت کنید.

• برای cPanel & WHM:

/scripts/restartsrv_mysql

تست اتصال MySQL راه دور

1. از طریق SSH به سرور راه دور وارد شوید.
2. اتصال به MySQL سرور راه دور:

mysql -u example -h 192.168.0.1 -p

• پسورد کاربر MySQL را وارد کنید.

3. دستور status را اجرا کنید تا SSL فعال بودن اتصال را بررسی کنید.

نمونه خروجی مشابه اتصال محلی:

SSL:            Cipher in use is DHE-RSA-AES256-SHA
...

کیان پور