OpenSSL如何配置Ubuntu数据库安全

以下是使用OpenSSL配置Ubuntu数据库安全的步骤，以MySQL和PostgreSQL为例：

一、安装OpenSSL

sudo apt update && sudo apt install openssl

二、生成SSL证书和密钥（自签名，测试环境使用）

1. 生成CA证书

openssl genrsa -out ca-key.pem 2048
openssl req -new -x509 -days 3650 -key ca-key.pem -out ca-cert.pem

2. 生成服务器证书

openssl req -newkey rsa:2048 -nodes -keyout server-key.pem -out server-req.pem
openssl x509 -req -days 3650 -CA ca-cert.pem -CAkey ca-key.pem -set_serial 01 -out server-cert.pem

3. 生成客户端证书（可选，双向认证需配置）

openssl req -newkey rsa:2048 -nodes -keyout client-key.pem -out client-req.pem
openssl x509 -req -days 3650 -CA ca-cert.pem -CAkey ca-key.pem -set_serial 01 -out client-cert.pem

三、配置数据库服务

1. MySQL配置

• 移动证书到安全目录

  sudo mkdir -p /etc/mysql/ssl
  sudo mv ca-cert.pem server-cert.pem server-key.pem /etc/mysql/ssl/
  sudo chown -R mysql:mysql /etc/mysql/ssl
  sudo chmod 600 /etc/mysql/ssl/*.pem
  

• 修改配置文件
  编辑 /etc/mysql/my.cnf，在 [mysqld] 部分添加：

  [mysqld]
  ssl-ca=/etc/mysql/ssl/ca-cert.pem
  ssl-cert=/etc/mysql/ssl/server-cert.pem
  ssl-key=/etc/mysql/ssl/server-key.pem
  require_secure_transport=ON  # 强制使用SSL连接
  

• 重启服务

  sudo systemctl restart mysql
  

• 验证SSL状态

  mysql -u root -p --ssl-ca=/etc/mysql/ssl/ca-cert.pem -e "SHOW VARIABLES LIKE 'have_ssl';"
  

2. PostgreSQL配置

• 移动证书到数据目录
  将证书文件（server.crt、server.key、ca.crt）放置到 /var/lib/postgresql/data/ 或指定路径。
• 修改配置文件
  编辑 postgresql.conf：

  ssl = on
  ssl_cert_file = '/path/to/server.crt'
  ssl_key_file = '/path/to/server.key'
  ssl_ca_file = '/path/to/ca.crt'  # 可选，双向认证需配置
  

  编辑 pg_hba.conf，添加SSL连接规则：

  # 允许SSL连接
  hostssl all all 0.0.0.0/0 md5
  # 或双向认证（需客户端提供证书）
  # hostssl all all 0.0.0.0/0 cert clientcert=1
  

• 重启服务

  sudo systemctl restart postgresql
  

• 验证SSL连接
  使用 psql 命令行工具：

  psql "host=localhost port=5432 dbname=postgres user=postgres sslmode=require"
  

四、安全增强措施

1. 禁用不安全的协议和密码套件
   编辑 /etc/ssl/openssl.cnf，在 [system_default_sect] 中设置：

   MinProtocol = TLSv1.2
   CipherString = HIGH:!aNULL:!MD5
   

2. 定期更新证书
   设置cron任务自动更新证书，避免过期。
3. 限制访问权限
   使用防火墙（如 ufw）限制数据库端口（MySQL:3306，PostgreSQL:5432）的访问范围：

   sudo ufw allow from <trusted_ip> to any port 3306
   sudo ufw enable
   

五、参考来源

• MySQL SSL配置：
• PostgreSQL SSL配置：
• OpenSSL基础操作：