MySQL5.7之SSL/TLS加密连接配置

运维必知的安全内容之TLS协议，如何选择合适的连接MySQL的TLS版本，本文将给出参考。

目录

1、连接MySQL服务器：使用加密选项

2、查看MySQL支持的TLS协议版本

3、变量tls_version使用说明

4、启用SSL协议连接

5、总结

---

环境：

• CentOS-7.9.2009-x86_64

1、连接MySQL服务器：使用加密选项

这些选项控制客户端程序如何建立与MySQL服务器的连接以及连接是否加密。

MySQL 5.7 Reference Manual :: 4.2.3 连接服务器命令行选项https://dev.mysql.com/doc/refman/5.7/en/connection-options.html#option_general_tls-version

从 MySQL 5.7.11 开始不推荐 客户端使用 --ssl 选项，并且 --ssl 在 MySQL 8.0 中删除。对于 客户端程序 请改用 --ssl-mode：  

• 使用 --ssl-mode=REQUIRED 代替 --ssl=1 或 --enable-ssl
• 使用 --ssl-mode=DISABLED 代替 --ssl=0 或 --skip-ssl 或 --disable-ssl
• 无显式 --ssl-mode 选项等同于无显式 --ssl 选项

不推荐服务器端使用 --ssl 选项。

2、查看MySQL支持的TLS协议版本

• 在 MySQL 5.7.28 之前，可以使用 yaSSL 作为 OpenSSL 的替代方案来编译 MySQL。
• 从 MySQL 5.7.28 开始，删除了对 yaSSL 的支持，所有 MySQL 构建都使用 OpenSSL。

mysql> SHOW GLOBAL VARIABLES LIKE 'tls_version';
+---------------+-----------------------+
| Variable_name | Value                 |
+---------------+-----------------------+
| tls_version   | TLSv1,TLSv1.1,TLSv1.2 |
+---------------+-----------------------+

在《/etc/my.cnf》文件中的 mysqld区域，添加 tls_version参数及赋值。

[mysqld]
# 从 MySQL 5.7.35 开始，不推荐使用 TLSv1 和 TLSv1.1 连接协议
tls_version=TLSv1.1,TLSv1.2

注意：从 MySQL 5.7.35 开始，不推荐使用 TLSv1 和 TLSv1.1 连接协议，并且对它们的支持可能会在未来的 MySQL 版本中被删除（请参阅 IETF 备忘录 Deprecating TLSv1.0 and TLSv1.1）。

MySQL 5.7 Reference Manual :: 6.3.2 加密连接 TLS 协议和密码https://dev.mysql.com/doc/refman/5.7/en/encrypted-connection-protocols-ciphers.html

3、变量tls_version使用说明

系统变量tls_version指定服务器允许哪些协议用于加密连接。

值是一个逗号分隔的列表，可以包含一个或多个协议版本。

MySQL 5.7 Reference Manual :: 5.1.7 服务器系统变量https://dev.mysql.com/doc/refman/5.7/en/server-system-variables.html#sysvar_tls_version

注意：此变量名支持的协议，取决于用于编译 MySQL 的 SSL 库，赋值时应选择允许的协议。有关详细信息，请参阅 第 6.3.2 节，“加密连接 TLS 协议和密码”。

4、启用SSL协议连接

请参考以下博文 1.3 章节：

MySQL数据库的安全策略-CSDN博客mysql 安全策略https://blog.csdn.net/q908544703/article/details/126034119

5、总结

启用TLS加密连接，对访问MySQL数据库的速度有一定的影响，请结合实例部署场景，决定是否启用。建议对核心数据库配置启用TLS连接。