linux系統(tǒng)中使用openssl實現(xiàn)mysql主從復制

更新時間：2016年11月23日 08:28:30 作者：運維部落

在MySQL的主從復制中，其傳輸過程是明文傳輸，并不能保證數(shù)據(jù)的安全性，今天我們就來討論下linux系統(tǒng)中使用openssl實現(xiàn)mysql主從復制，有需要的小伙伴可以參考下

證書準備：

CA證書：

第一步：創(chuàng)建CA私鑰

[root@localhost CA]# (umask 066;openssl genrsa -out /etc/pki/CA/private/cakey.pem 2048)

第二步：生成自簽證書

[root@localhost CA]# openssl req -new -x509 -key /etc/pki/CA/private/cakey.pem -days 7300 -out /etc/pki/CA/cacert.pem

————————————————————————————–

mysql準備私鑰及證書申請文件：

第一步：創(chuàng)建mysql私鑰：

[root@localhost ~]# (umask 066;openssl genrsa -out /var/lib/mysql/ssl/mysql.key 2048)

第二步：生成證書申請文件及發(fā)送給CA服務端

[root@localhost ~]# openssl req -new -key /var/lib/mysql/ssl/mysql.key -days 365 -out /var/lib/mysql/ssl/mysql.csr

注意：國家，省，公司名稱必須和CA一致

將證書申請文件發(fā)送至CA服務器

————————————————————————————–

在CA服務器端頒發(fā)證書：

[root@localhost CA]# openssl ca -in /tmp/mysql.csr -out /tmp/mysql.crt -days 365

附上查看證書中的信息命令：

openssl x509 -in /PATH/FROM/CERT_FILE -noout -text|subject|serial|dates

————————————————————————————–

將證書發(fā)送至mysql服務器

以及將CA的自簽證書發(fā)送至從服務器

證書準備動作到此結(jié)束

基于ssl功能實現(xiàn)主從復制，是主從雙方都需要互相驗證，即從服務器也要有自己的證書。

所以，按照上述流程，生成slave服務器的證書

================================================

配置mysql服務端：

在主服務器端查看關于ssl有關的參數(shù) 及主從復制–主服務器的配置項：

MariaDB [(none)]> show variables like ‘%ssl%';

由于ssl功能配置項為全局配置參數(shù)，所以編輯 /etc/my.cnf 文件：

由于是客戶端驗證服務端，所以只需要配置 ssl_cert（mysql服務器端的證書位置）、ssl_key（mysql私鑰位置）與ssl_ca（CA證書位置）即可

開啟服務，并檢查：

————————————————————————————–

創(chuàng)建一個基于ssl功能，從服務器用于復制mysql主服務器數(shù)據(jù)庫的最小權限賬號：

MariaDB [(none)]> GRANT REPLICATION SLAVE,REPLICATION CLIENT ON *.* TO ‘slave1'@'10.1.35.25' IDENTIFIED BY ‘passwd' REQUIRE ssl ;

查看binlog位置，并記錄，用于從服務器配置：

MariaDB [(none)]> SHOW MASTER LOGS;

================================================

從服務器配置：

編輯 /etc/my.cnf ，由于是從服務器，所以需要開啟中繼日志（relay_log），且server_id不應與同一層面的mysql服務器相同

啟動mysql服務，并檢查：

————————————————————————————–

配置從服務器，指向主服務器（這是是全局配置參數(shù)，但是不建議寫在配置文件/etc/my.cnf 中，因為如果slave因意外宕機，在為了檢查數(shù)據(jù)完整性的情況下，再啟動mysql的時候，也會自動啟動復制功能，不利于排查錯誤）

MariaDB [(none)]> CHANGE MASTER TO MASTER_HOST='10.1.35.1′,MASTER_USER='slave1′,MASTER_PASSWORD='passwd',MASTER_LOG_FILE=' master-log.000025 ‘,MASTER_LOG_POS= 245 , MASTER_SSL =1, MASTER_SSL_CA ='/var/lib/mysql/ssl/cacert.pem', MASTER_SSL_CERT ='/var/lib/mysql/ssl/slave.crt', MASTER_SSL_KEY ='/var/lib/mysql/ssl/slave.key';