當使用非加密方式連線MySQL資料庫時，在網路中傳輸的所有資訊都是明文的，可以被網路中所有人擷取，敏感資訊可能被洩露。在傳送敏感資訊（如密碼）時，可以採用SSL連線的方式。 一、配置MySQL服務端支援SSL連線 1. MySQL 5.7.6以前版本的配置方法： a. 使用命令手工建立SSL檔案：

# pwd
/data/mysql562
# mkdir certs
# cd certs
建立CA檔案：
# openssl genrsa 2048 > ca-key.pem
# openssl req -new -x509 -nodes -days 3600 \
> -key ca-key.pem -out ca.pem
建立服務端公鑰和私鑰：
# openssl req -newkey rsa:2048 -days 3600 \
> -nodes -keyout server-key.pem -out server-req.pem
# openssl rsa -in server-key.pem -out server-key.pem
# openssl x509 -req -in server-req.pem -days 3600 \
> -CA ca.pem -CAkey ca-key.pem -set_serial 01 -out server-cert.pem
建立客戶端公鑰和私鑰：
# openssl req -newkey rsa:2048 -days 3600 \
> -nodes -keyout client-key.pem -out client-req.pem
# openssl rsa -in client-key.pem -out client-key.pem
# openssl x509 -req -in client-req.pem -days 3600 \
> -CA ca.pem -CAkey ca-key.pem -set_serial 01 -out client-cert.pem
# chown mysql.mysql -R /data/mysql562/certs
檢查建立的檔案：
# ll
-rw-r--r--. 1 mysql mysql 1679 3月  10 11:44 ca-key.pem
-rw-r--r--. 1 mysql mysql 1220 3月  10 11:44 ca.pem
-rw-r--r--. 1 mysql mysql 1090 3月  10 11:49 client-cert.pem
-rw-r--r--. 1 mysql mysql 1675 3月  10 11:49 client-key.pem
-rw-r--r--. 1 mysql mysql  952 3月  10 11:49 client-req.pem
-rw-r--r--. 1 mysql mysql 1090 3月  10 11:47 server-cert.pem
-rw-r--r--. 1 mysql mysql 1679 3月  10 11:46 server-key.pem
-rw-r--r--. 1 mysql mysql  952 3月  10 11:46 server-req.pem
 

b. 修改MySQL服務端配置檔案/etc/my.cnf，增加以下引數：

[mysqld]
ssl-ca=ca.pem
ssl-cert=server-cert.pem
ssl-key=server-key.pem

2. MySQL5.7.6及以後版本的配置方法： a. 使用MySQL提供的指令碼建立SSL檔案，會建立到資料庫所在目錄中：

# pwd
/usr/local/mysql
# ./bin/mysql_ssl_rsa_setup
# cd /data/mysql3306/data/
# chown mysql.mysql *
# ll
-rw-------. 1 mysql mysql     1679 3月  10 13:21 ca-key.pem
-rw-r--r--. 1 mysql mysql     1074 3月  10 13:21 ca.pem
-rw-r--r--. 1 mysql mysql     1078 3月  10 13:21 client-cert.pem
-rw-------. 1 mysql mysql     1675 3月  10 13:21 client-key.pem
-rw-------. 1 mysql mysql     1679 3月  10 13:21 private_key.pem
-rw-r--r--. 1 mysql mysql      451 3月  10 13:21 public_key.pem
-rw-r--r--. 1 mysql mysql     1078 3月  10 13:21 server-cert.pem
-rw-------. 1 mysql mysql     1679 3月  10 13:21 server-key.pem
 

b. 修改MySQL服務端配置檔案/etc/my.cnf，增加以下引數：

[mysqld]
ssl-ca=ca.pem
ssl-cert=server-cert.pem
ssl-key=server-key.pem

二、配置客戶端以SSL方式連線MySQL： 在伺服器端配置了SSL引數後，客戶端發起連線時預設使用SSL方式。 1. 命令列方式使用SSL連線：

# mysql -h192.168.20.246 -P 3306 -uroot -p
Enter password: 
mysql> \s
--------------
mysql  Ver 14.14 Distrib 5.7.17, for Linux (x86_64) using  EditLine wrapper

Connection id:          4
Current database:
Current user:           
 
[email protected]
SSL:                    Cipher in use is DHE-RSA-AES256-SHA
Current pager:          stdout
Using outfile:          ''
Using delimiter:        ;
Server version:         5.7.17 MySQL Community Server (GPL)
Protocol version:       10
Connection:             192.168.20.246 via TCP/IP
Server characterset:    utf8mb4
Db     characterset:    utf8mb4
Client characterset:    gbk
Conn.  characterset:    gbk
TCP port:               3306
Uptime:                 4 min 42 sec

2. 以非加密方式連線MySQL：

# mysql -h192.168.20.246 -P 3306 -uroot -p --ssl-mode=DISABLED
Enter password: 
mysql> \s
--------------
mysql  Ver 14.14 Distrib 5.7.17, for Linux (x86_64) using  EditLine wrapper

Connection id:          7
Current database:
Current user:           [email protected]
SSL:                    Not in use
Current pager:          stdout
Using outfile:          ''
Using delimiter:        ;
Server version:         5.7.17 MySQL Community Server (GPL)
Protocol version:       10
Connection:             192.168.20.246 via TCP/IP
Server characterset:    utf8mb4
Db     characterset:    utf8mb4
Client characterset:    gbk
Conn.  characterset:    gbk
TCP port:               3306
Uptime:                 6 min 5 sec

3. 設定使用者必須以SSL方式連線MySQL資料庫：

mysql> create user [email protected]'%' identified by 'XXxx_123' require ssl;
mysql> grant select on *.* to [email protected]'%';

此時以非加密方式連線會報錯：
# mysql -h192.168.20.246 -P 3306 -uhy -p --ssl-mode=DISABLED
Enter password: 
ERROR 1045 (28000): Access denied for user 'hy'@'192.168.20.253' (using password: YES)

三、啟用X509身份認證 使用上述步驟建立的符合X509格式的CA檔案、公鑰、私鑰可以對連線進行身份認證，進一步提高連線的安全性。需先將CA檔案、公鑰、私鑰分發給客戶端。 1. 設定使用者必須以X509方式驗證身份後連線資料庫：

mysql> create user [email protected]'%' identified by 'XXxx_123' require x509;
mysql> grant select on *.* to [email protected]'%';

2. 在客戶端使用分發的CA檔案、公鑰、私鑰連線資料庫：

# mysql -h192.168.20.246 -P 3306 -uhrb -p --ssl-ca=./ca.pem --ssl-cert=./client-cert.pem --ssl-key=client-key.pem
Enter password: 
mysql> \s
--------------
mysql  Ver 14.14 Distrib 5.7.17, for Linux (x86_64) using  EditLine wrapper

Connection id:          14
Current database:
Current user:           [email protected]
SSL:                    Cipher in use is DHE-RSA-AES256-SHA
Current pager:          stdout
Using outfile:          ''
Using delimiter:        ;
Server version:         5.7.17 MySQL Community Server (GPL)
Protocol version:       10
Connection:             192.168.20.246 via TCP/IP
Server characterset:    utf8mb4
Db     characterset:    utf8mb4
Client characterset:    gbk
Conn.  characterset:    gbk
TCP port:               3306
Uptime:                 35 min 2 sec

此時若不指定CA檔案、公鑰、私鑰，僅使用SSL連線資料庫會報錯：
# mysql -h192.168.20.246 -P 3306 -uhrb -p
Enter password: 
ERROR 1045 (28000): Access denied for user 'hrb'@'192.168.20.253' (using password: YES)