AI 助理
备案控制台
开发者社区 数据库 文章 正文

基于SSL加密的MySQL主从复制

2017-11-15 1679
版权
版权声明：
本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《 阿里云开发者社区用户服务协议》和 《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写 侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。
本文涉及的产品
云数据库 RDS MySQL，集群系列 2核4GB
推荐场景：
搭建个人博客
RDS MySQL Serverless 基础系列，0.5-2RCU 50GB
推荐场景：
学生管理系统数据库设计 搭建个人博客
云数据库 RDS PostgreSQL，集群系列 2核4GB
简介：

在MySQL的主从复制中，其传输过程是明文传输，并不能保证数据的安全性，在编译安装Mysql时，基本上都会加上一个 --with-openssl这样的选项，即表示支openssl加密传输协议，因此就可以为mysql配置基于ssl加密传输啦。

规划：
Master：
IP地址：172.16.4.111
MySQL版本：5.5.20
操作系统：RHEL5.4

Slave：
IP地址：172.16.4.112
MySQL版本：5.5.20
操作系统：RHEL5.4

由于使用了ssl加密传输协议，即意味着，在传输之前，主从服务器是要进行互相认证的，因此要为两台服务器准备各自的证书，私钥，以及为其颁发证书的CA的证书，明晰了这些，就先为两台服务器准备私钥，证书。这里需要将Master配置为一台CA服务器，方便为主从服务器颁发证书。ps：将服务器配置为CA服务器，详见：Openssl的用法(搭建CA服务器)  http://grass51.blog.51cto.com/4356355/798505

一、设置主从服务
在172.16.4.111服务器上
编辑/etc/my.cnf
#vim /etc/my.cnf
将serier_id修改为11
server_id=11                #修改server_id=11
log_bin=mysql-bin            #开启二进制日志
sync_binlog=1                #任何一个事务提交之后就立即写入到磁盘中的二进制文件
innodb_flush_logs_at_trx_commit=1       #任何一个事物提交之后就立即写入到磁盘中的日志文件
保存退出
启动mysql
#service mysqld start

在172.16.4.112服务器上
编辑/etc/my.cnf
#vim /etc/my.cnf
server_id=12                #修改server_id=12
#log-bin                #注释掉log-bin，从服务器不需要二进制日志，因此将其关闭 
relay-log=mysql-relay                #定义中继日志名，开启从服务器中继日志 
relay-log-index=mysql-relay.index     #定义中继日志索引名，开启从服务器中继索引
read_only=1                    #设定从服务器只能进行读操作，不能进行写操作
保存退出
启动mysql
#service mysqld start


二、准备证书，私钥
1、配置Master为CA服务器
#vim /etc/pki/tls/openssl.cnf 
将  dir             = ../../CA修改为
dir             = /etc/pki/CA
#(umask 077;openssl genrsa 2048 > private/cakey.pem)
#openssl req -new -x509 -key private/cakey.pem -out cacert.pem -days 3650
#mkdir certs crl newcerts
#touch index.txt
#echo 01 > serial

2、为Master上的Mysql准备私钥以及颁发证书
#mkdir /usr/local/mysql/ssl
#cd ssl/
#(umask 077;openssl genrsa 1024 > mysql.key)
#openssl req -new -key mysql.key -out mysql.csr
#openssl ca -in mysql.csr -out mysql.crt
#cp /etc/pki/CA/cacert.pem /usr/local/mysql/ssl/
#chown -R mysql.mysql ssl/

3、为Slave上的Mysql准备私钥以及申请证书
#mkdir /usr/local/mysql/ssl
#cd ssl/
#(umask 077;openssl genrsa 1024 > mysql.key)
#openssl req -new -key mysql.key -out mysql.csr
#scp ./mysql.csr 172.16.4.111:/root

4、在Master上为Slave签发证书
#cd
#openssl ca -in mysql.csr -out mysql.crt
#scp ./mysql.crt 172.16.4.112:/usr/local/mysql/ssl
#cd /etc/pki/CA
#scp ./cacert.pem 172.16.4.112:/usr/local/mysql/ssl

到此证书以及私钥已经准备好，请确认在Master以及Slave的/usr/local/mysql/ssl目录下具有以下文件，以及属主和属组：

 


三、开启Mysql的ssl功能
Master：
登录Mysql查看
mysql> show variables like '%ssl%';
+---------------+----------+
| Variable_name | Value    |
+---------------+----------+
| have_openssl  | DISABLED | 
| have_ssl      | DISABLED | 
| ssl_ca        |          | 
| ssl_capath    |          | 
| ssl_cert      |          | 
| ssl_cipher    |          | 
| ssl_key       |          | 
+---------------+----------+
输出为DISABLED表示ssl还未开启，
编辑/etc/my.cnf
在[mysqld]和[mysqldump]之间，加入以下内容：
ssl                         #表示开启mysql的ssl功能

保存后重新启动mysql，再次登录mysql
mysql> show variables like '%ssl%';
+---------------+-------+
| Variable_name | Value |
+---------------+-------+
| have_openssl  | YES   | 
| have_ssl      | YES   | 
| ssl_ca        |       | 
| ssl_capath    |       | 
| ssl_cert      |       | 
| ssl_cipher    |       | 
| ssl_key       |       | 
+---------------+-------+
输出为YES表示ssl已经开启。

Slave：
执行同样的操作
mysql> show variables like '%ssl%';
+---------------+----------+
| Variable_name | Value    |
+---------------+----------+
| have_openssl  | DISABLED | 
| have_ssl      | DISABLED | 
| ssl_ca        |          | 
| ssl_capath    |          | 
| ssl_cert      |          | 
| ssl_cipher    |          | 
| ssl_key       |          | 
+---------------+----------+
输出为DISABLED表示ssl还未开启，
编辑/etc/my.cnf
在[mysqld]和[mysqldump]之间，加入一行ssl：
ssl

保存后重新启动mysql，再次登录mysql
mysql> show variables like '%ssl%';
+---------------+-------+
| Variable_name | Value |
+---------------+-------+
| have_openssl  | YES   | 
| have_ssl      | YES   | 
| ssl_ca        |       | 
| ssl_capath    |       | 
| ssl_cert      |       | 
| ssl_cipher    |       | 
| ssl_key       |       | 
+---------------+-------+
输出为YES表示ssl已经开启。


四、配置主从服务的ssl功能
Master：
编辑配置文件：
#vim /etc/my.cnf
在之间添加的ssl下面添加以下内容：
ssl-ca=/usr/local/mysql/ssl/cacert.pem
ssl-cert=/usr/local/mysql/ssl/mysql.crt
ssl-key=/usr/local/mysql/ssl/mysql.key

这里一定要对应到您所存放证书和私钥的绝对路径
保存退出，重新启动Mysql
mysql> show variables like '%ssl%';
+---------------+---------------------------------+
| Variable_name | Value                           |
+---------------+---------------------------------+
| have_openssl  | YES                             | 
| have_ssl      | YES                             | 
| ssl_ca        | /usr/local/mysql/ssl/cacert.pem | 
| ssl_capath    |                                 | 
| ssl_cert      | /usr/local/mysql/ssl/mysql.crt  | 
| ssl_cipher    |                                 | 
| ssl_key       | /usr/local/mysql/ssl/mysql.key  | 
+---------------+---------------------------------+

Slave：
编辑配置文件：
#vim /etc/my.cnf
在之间添加的ssl下面添加以下内容：
ssl-ca=/usr/local/mysql/ssl/cacert.pem
ssl-cert=/usr/local/mysql/ssl/mysql.crt
ssl-key=/usr/local/mysql/ssl/mysql.key

这里一定要对应到您所存放证书和私钥的绝对路径
保存退出，重新启动Mysql
mysql> show variables like '%ssl%';
+---------------+---------------------------------+
| Variable_name | Value                           |
+---------------+---------------------------------+
| have_openssl  | YES                             | 
| have_ssl      | YES                             | 
| ssl_ca        | /usr/local/mysql/ssl/cacert.pem | 
| ssl_capath    |                                 | 
| ssl_cert      | /usr/local/mysql/ssl/mysql.crt  | 
| ssl_cipher    |                                 | 
| ssl_key       | /usr/local/mysql/ssl/mysql.key  | 
+---------------+---------------------------------+


五、记录主服务器的二进制日志文件以及事件，并且创建基于ssl复制的用户
ps：这里主从服务器的数据当前都是一致的，如果从服务器是新添加的，则需要将主服务器的最后的一个二进制日志之前的所有数据导入从服务器，具体步骤见：mysql的主从复制的场景二       http://grass51.blog.51cto.com/4356355/836600


Master：
mysql> show master status;
+------------------+----------+--------------+------------------+
| File             | Position | Binlog_Do_DB | Binlog_Ignore_DB |
+------------------+----------+--------------+------------------+
| mysql-bin.000075 |      107 |              |                  | 
+------------------+----------+--------------+------------------+

mysql> grant replication client,replication slave on *.* to sslrepl@172.16.4.112 identified by '135246' require ssl;
Query OK, 0 rows affected (0.01 sec)

mysql> flush privileges;
Query OK, 0 rows affected (0.00 sec)


六、启动从服务的从服务线程
Slave：
mysql> change master to \
    -> master_host='172.16.4.111',
    -> master_user='sslrepl',
    -> master_password='135246',
    -> master_log_file='mysql-bin.000075',
    -> master_log_pos=107,
    -> master_ssl=1,
    -> master_ssl_ca='/usr/local/mysql/ssl/cacert.pem',
    -> master_ssl_cert='/usr/local/mysql/ssl/mysql.crt',
    -> master_ssl_key='/usr/local/mysql/ssl/mysql.key';
Query OK, 0 rows affected (0.17 sec)

mysql> show slave status\G
*************************** 1. row ***************************
               Slave_IO_State: 
                  Master_Host: 172.16.4.111
                  Master_User: sslrepl
                  Master_Port: 3306
                Connect_Retry: 60
              Master_Log_File: mysql-bin.000075
          Read_Master_Log_Pos: 608
               Relay_Log_File: relay-bin.000001
                Relay_Log_Pos: 4
        Relay_Master_Log_File: mysql-bin.000075
             Slave_IO_Running: No
            Slave_SQL_Running: No
              Replicate_Do_DB: 
          Replicate_Ignore_DB: 
           Replicate_Do_Table: 
       Replicate_Ignore_Table: 
      Replicate_Wild_Do_Table: 
  Replicate_Wild_Ignore_Table: 
                   Last_Errno: 0
                   Last_Error: 
                 Skip_Counter: 0
          Exec_Master_Log_Pos: 608
              Relay_Log_Space: 107
              Until_Condition: None
               Until_Log_File: 
                Until_Log_Pos: 0
           Master_SSL_Allowed: Yes
           Master_SSL_CA_File: /usr/local/mysql/ssl/cacert.pem
           Master_SSL_CA_Path: /usr/local/mysql/ssl
              Master_SSL_Cert: /usr/local/mysql/ssl/mysql.crt
            Master_SSL_Cipher: 
               Master_SSL_Key: /usr/local/mysql/ssl/mysql.key
        Seconds_Behind_Master: NULL
Master_SSL_Verify_Server_Cert: No
                Last_IO_Errno: 0
                Last_IO_Error: 
               Last_SQL_Errno: 0
               Last_SQL_Error: 
  Replicate_Ignore_Server_Ids: 
             Master_Server_Id: 1

mysql> start slave;
Query OK, 0 rows affected (0.00 sec)

mysql> show slave status\G
*************************** 1. row ***************************
               Slave_IO_State: Queueing master event to the relay log
                  Master_Host: 172.16.4.111
                  Master_User: sslrepl
                  Master_Port: 3306
                Connect_Retry: 60
              Master_Log_File: mysql-bin.000075
          Read_Master_Log_Pos: 608
               Relay_Log_File: relay-bin.000001
                Relay_Log_Pos: 4
        Relay_Master_Log_File: mysql-bin.000075
             Slave_IO_Running: Yes
            Slave_SQL_Running: Yes
              Replicate_Do_DB: 
          Replicate_Ignore_DB: 
           Replicate_Do_Table: 
       Replicate_Ignore_Table: 
      Replicate_Wild_Do_Table: 
  Replicate_Wild_Ignore_Table: 
                   Last_Errno: 0
                   Last_Error: 
                 Skip_Counter: 0
          Exec_Master_Log_Pos: 608
              Relay_Log_Space: 403
              Until_Condition: None
               Until_Log_File: 
                Until_Log_Pos: 0
           Master_SSL_Allowed: Yes
           Master_SSL_CA_File: /usr/local/mysql/ssl/cacert.pem
           Master_SSL_CA_Path: /usr/local/mysql/ssl
              Master_SSL_Cert: /usr/local/mysql/ssl/mysql.crt
            Master_SSL_Cipher: 
               Master_SSL_Key: /usr/local/mysql/ssl/mysql.key
        Seconds_Behind_Master: 2132
Master_SSL_Verify_Server_Cert: No
                Last_IO_Errno: 0
                Last_IO_Error: 
               Last_SQL_Errno: 0
               Last_SQL_Error: 
  Replicate_Ignore_Server_Ids: 
             Master_Server_Id: 1


输出信息为
Slave_IO_Running: Yes
Slave_SQL_Running: Yes
Master_SSL_Allowed: Yes
说明，基于ssl的配置已经成功


七、验证是否使用了ssl加密
Slave：
使用ssrepl用户登录mysql
#mysql --ssl-ca=/usr/local/mysql/ssl/cacert.pem --ssl-cert=/usr/local/mysql/ssl/mysql.crt --ssl-key=/usr/local/mysql/ssl/mysql.key -usslrepl -h172.16.4.111 -p135246
mysql> \s
--------------
mysql  Ver 14.12 Distrib 5.0.77, for redhat-linux-gnu (i386) using readline 5.1

Connection id:        3
Current database:    
Current user:        sslrepl@172.16.4.112
SSL:            Cipher in use is DHE-RSA-AES256-SHA
Current pager:        stdout
Using outfile:        ''
Using delimiter:    ;
Server version:        5.5.19-log MySQL Community Server (GPL)
Protocol version:    10
Connection:        172.16.4.111 via TCP/IP
Server characterset:    latin1
Db     characterset:    latin1
Client characterset:    latin1
Conn.  characterset:    latin1
TCP port:        3306
Uptime:            8 min 18 sec

Threads: 3  Questions: 47  Slow queries: 0  Opens: 34  Flush tables: 1  Open tables: 27  Queries per second avg: 0.094
--------------

输出信息：
SSL:            Cipher in use is DHE-RSA-AES256-SHA

说明是加密连接了。

由于SSL相关的配置写进了配置文件，则默认是加密连接的。
也可以使用--skip-ssl选项取消加密连接。


至此基于SSL加密的MySQL主从复制架构就配置成功了！

对于基于SSL机密的主主复制只需各自建立基于ssl加密的用户即可。








本文转自 向阳草米奇 51CTO博客，原文链接：http://blog.51cto.com/grass51/837589，如需转载请自行联系原作者
文章标签：
密钥管理服务
云数据库 RDS MySQL 版
日志服务
关系型数据库
网络安全
MySQL
监控
数据安全/隐私保护
关键词：
云数据库 RDS MySQL 版主从复制
SSL加密
ssl密钥管理服务
云数据库 RDS MySQL 版ssl
云数据库 RDS MySQL 版加密
余二五
目录
相关文章
sunrr
|
2月前
|
安全 网络安全 数据安全/隐私保护
SSL/TLS证书**是一种用于加密网络通信的数字证书
SSL/TLS证书**是一种用于加密网络通信的数字证书
sunrr
123 6
小王老师呀
|
3月前
|
SQL 关系型数据库 MySQL
mysql主从复制概述和配置
【10月更文挑战第22天】MySQL 主从复制是一种将主服务器的数据复制到一个或多个从服务器的技术，实现读写分离，提高系统性能和可用性。主服务器记录变更日志，从服务器通过 I/O 和 SQL 线程读取并应用这些变更。适用于读写分离、数据备份和恢复、数据分析等场景。配置步骤包括修改配置文件、创建复制用户、配置从服务器连接主服务器并启动复制进程。
小王老师呀
173 1
糜终
|
3月前
|
监控 关系型数据库 MySQL
深入了解MySQL主从复制：构建高效稳定的数据同步架构
深入了解MySQL主从复制：构建高效稳定的数据同步架构
糜终
155 1
刘大猫.
|
17天前
|
NoSQL 关系型数据库 Redis
《docker高级篇（大厂进阶）：1.Docker复杂安装详说》包括：安装mysql主从复制、安装redis集群
《docker高级篇（大厂进阶）：1.Docker复杂安装详说》包括：安装mysql主从复制、安装redis集群
刘大猫.
77 14
刘大猫.
|
30天前
|
关系型数据库 MySQL 数据库
docker高级篇（大厂进阶）：安装mysql主从复制
docker高级篇（大厂进阶）：安装mysql主从复制
刘大猫.
106 24
大数据文摘
|
3月前
|
存储 关系型数据库 MySQL
MySQL主从复制原理和使用
本文介绍了MySQL主从复制的基本概念、原理及其实现方法，详细讲解了一主两从的架构设计，以及三种常见的复制模式（全同步、异步、半同步）的特点与适用场景。此外，文章还提供了Spring Boot环境下配置主从复制的具体代码示例，包括数据源配置、上下文切换、路由实现及切面编程等内容，帮助读者理解如何在实际项目中实现数据库的读写分离。
大数据文摘
193 1
MySQL主从复制原理和使用
互联网课堂
|
3月前
|
SQL 关系型数据库 MySQL
Mysql中搭建主从复制原理和配置
主从复制在数据库管理中广泛应用，主要优点包括提高性能、实现高可用性、数据备份及灾难恢复。通过读写分离、从服务器接管、实时备份和地理分布等机制，有效增强系统的稳定性和数据安全性。主从复制涉及I/O线程和SQL线程，前者负责日志传输，后者负责日志应用，确保数据同步。配置过程中需开启二进制日志、设置唯一服务器ID，并创建复制用户，通过CHANGE MASTER TO命令配置从服务器连接主服务器，实现数据同步。实验部分展示了如何在两台CentOS 7服务器上配置MySQL 5.7主从复制，包括关闭防火墙、配置静态IP、设置域名解析、配置主从服务器、启动复制及验证同步效果。
互联网课堂
131 0
Mysql中搭建主从复制原理和配置
付兴森
|
3月前
|
应用服务中间件 网络安全 Apache
Discuz! X3.5 开启ssl证书加密后微信、公众号无消息、支付宝通讯中断等
Discuz! X3.5 开启ssl证书加密后微信、公众号无消息、支付宝通讯中断等、支付宝支付实际支付成功，显示未支付等，都属于通讯中断，需要联系DZ官方付费修改程序，屏蔽防CC！
付兴森
74 4
蓝易云
|
4月前
|
存储 关系型数据库 MySQL
分析MySQL主从复制中AUTO_INCREMENT值不一致的问题
通过对 `AUTO_INCREMENT`不一致问题的深入分析和合理应对措施的实施，可以有效地维护MySQL主从复制环境中数据的一致性和完整性，确保数据库系统的稳定性和可靠性。
蓝易云
139 6
蓝易云
|
4月前
|
存储 关系型数据库 MySQL
分析MySQL主从复制中AUTO_INCREMENT值不一致的问题
通过对 `AUTO_INCREMENT`不一致问题的深入分析和合理应对措施的实施，可以有效地维护MySQL主从复制环境中数据的一致性和完整性，确保数据库系统的稳定性和可靠性。
蓝易云
90 1

热门文章

最新文章

  • 1
    MySQL的count()方法慢
  • 2
    【MySQL基础篇】事务（事务操作、事务四大特性、并发事务问题、事务隔离级别）
  • 3
    【MySQL进阶篇】存储引擎（MySQL体系结构、InnoDB、MyISAM、Memory区别及特点、存储引擎的选择方案）
  • 4
    Linux安装jdk、mysql、redis
  • 5
    深入解析MySQL的EXPLAIN：指标详解与索引优化
  • 6
    10个案例告诉你mysql不使用子查询的原因
  • 7
    Mysql并发控制和日志
  • 8
    docker高级篇（大厂进阶）：安装mysql主从复制
  • 9
    Windows Server 安装 MySQL 8.0 详细指南
  • 10
    【MySQL基础篇】MySQL概述、Windows下载MySQL8.0超详细图文安装教程
  • 1
    SSL加密
    74
  • 2
    Elasticsearch 8.X 集群 SSL 证书到期了，怎么更换?
    363
  • 3
    【专栏】深入探讨 L2TP 与 SSL 这两种协议的区别，帮助读者更好地理解它们各自的特点和适用场景
    934
  • 4
    /config --prefix=/usr/local/ssl --shared 命令里的参数的作用
    420
  • 5
    阿里云服务器配置、(xshell)远程连接、搭建环境、设置安全组、域名备案、申请ssl证书
    551
  • 6
    SSL原理、生成SSL密钥对、Nginx配置SSL
    163
  • 7
    深入理解SSL数字证书：定义、工作原理与网络安全的重要性
    488
  • 8
    nginx配置SSL证书配置https访问网站 超详细（附加配置源码+图文配置教程）
    786
  • 9
    HTTP代理SSL连接：保障网络安全的重要协议
    108
  • 10
    IDEA DataGrip连接sqlserver 提示驱动程序无法通过使用安全套接字层(SSL)加密与 SQL Server 建立安全连接的解决方法
    765

    • 相关课程

    更多
  • MySQL企业常见架构与调优经验分享
  • 云数据库MySQL版快速上手教程
  • 阿里云云原生数据仓库AnalyticDB MySQL版 使用教程
  • MySQL实战进阶
  • 数据库及SQL/MySQL基础
  • 云数据库MySQL快速入门

    • 相关电子书

    更多
  • 搭建电商项目架构连接MySQL
  • 搭建4层电商项目架构，实战连接MySQL
  • PolarDB MySQL引擎重磅功能及产品能力盛大发布

    • 相关实验场景

    更多
  • MySQL基础-学生管理系统数据库设计
  • 如何快速连接云数据库RDS MySQL
  • MySQL数据库快速部署实践
  • MySQL引擎及架构优化
  • 基于EBS部署高性能的MySQL服务
  • 使用CloudLens采集RDS日志并进行审计分析

    • 推荐镜像

    更多
  • mysql
  • postgresql
  • mariadb
    • 下一篇
    DataWorks智能交互式数据开发与分析之旅