怎样在MySQL 5.7中使用SSL加密来保护主从同步的链路安全？-mysql教程-PHP中文网

mysql 5.7 主从复制默认明文传输，生产跨网段部署必须启用ssl加密。主库需生成证书并正确配置ssl-ca/ssl-cert/ssl-key，属主设为mysql且权限严格；复制账号须require ssl；从库change master to必须指定master_ssl=1及有效master_ssl_ca路径；主库还需设置require_secure_transport=on强制加密连接，否则仍可降级为明文。

怎样在mysql 5.7中使用ssl加密来保护主从同步的链路安全？

MySQL 5.7 主从复制默认走明文，只要网络路径可被中间人截获（比如跨公网、VPC边界、共享宿主机），binlog内容、复制账号密码甚至部分DML语句都可能泄露。启用SSL不是“锦上添花”，而是生产环境跨网段部署时的强制底线。

主库必须生成并加载有效证书，且私钥要有读权限

执行 mysql_ssl_rsa_setup 后，证书文件（ca.pem、server-cert.pem、server-key.pem）默认生成在 datadir 下。但常见失败点是：server-key.pem 属主为 root 且权限为 600，而 mysqld 进程以 mysql 用户运行，无法读取私钥。

先确认 datadir 路径：SHOW VARIABLES LIKE 'datadir';
进入该目录，执行：chown mysql:mysql server-key.pem 和 chmod 600 server-key.pem

修改 /etc/my.cnf 的 [mysqld] 段，显式指定路径（不要依赖默认位置）：

ssl-ca=/var/lib/mysql/ca.pem<br>ssl-cert=/var/lib/mysql/server-cert.pem<br>ssl-key=/var/lib/mysql/server-key.pem

重启后检查：SHOW VARIABLES LIKE '%ssl%'; 中 have_ssl 必须为 YES，ssl_ca/ssl_cert/ssl_key 值非空

从库连接主库时必须显式启用 SSL 并验证 CA

仅主库配了证书，从库不主动要求加密，连接仍会降级为明文。关键在于 CHANGE MASTER TO 语句中必须包含 MASTER_SSL=1 及完整证书路径，否则 TLS 握手不会触发。

SSL Certificate Monitor

检查一个或多个域名的 SSL/TLS 证书到期时间、颁发者、协议及 SAN 信息，用于应要求检查证书、监控到期或验证 HTTPS 等场景。

下载

复制账号必须强制 SSL：CREATE USER 'repl'@'%' REQUIRE SSL; + GRANT REPLICATION SLAVE ON *.* TO 'repl'@'%';

从库执行：

CHANGE MASTER TO<br>  MASTER_HOST='master-ip',<br>  MASTER_USER='repl',<br>  MASTER_PASSWORD='xxx',<br>  MASTER_SSL=1,<br>  MASTER_SSL_CA='/etc/mysql/ca.pem',<br>  MASTER_SSL_CERT='/etc/mysql/client-cert.pem',<br>  MASTER_SSL_KEY='/etc/mysql/client-key.pem';

MASTER_SSL_CA 是必须项；MASTER_SSL_CERT 和 MASTER_SSL_KEY 仅当主库启用了双向认证（REQUIRE X509）才需要。多数场景只需 CA 文件
务必确认从库上的 ca.pem 与主库生成的完全一致（sha256sum 对比），否则报错 SSL error: certificate verify failed

主库需设 `require_secure_transport=ON` 防止降级攻击

即使从库配置了 MASTER_SSL=1，若主库未强制加密，它仍会接受未加密的复制连接请求——攻击者可伪造从库身份绕过 SSL。

主库执行：SET GLOBAL require_secure_transport = ON;（持久化需写入 my.cnf 的 [mysqld] 段）
该变量生效后，所有新连接（包括复制连接）必须使用 SSL/TLS，否则拒绝授权
验证是否生效：SELECT @@require_secure_transport; 返回 1
注意：此设置会影响所有客户端连接，如应用未配 SSL 会直接连不上，需同步改造

验证链路是否真加密，不能只看 `SHOW SLAVE STATUS`

SHOW SLAVE STATUS\G 里 Seconds_Behind_Master 正常、Slave_IO_Running 和 Slave_SQL_Running 都为 Yes，不代表链路加密。真正判断依据是主库的连接状态。

主库执行：SHOW PROCESSLIST; 找到从库 IP 的连接行，看 ssl_type 列是否为 ANY 或 X509（明文连接此项为空）
更直接的方式：SELECT id, user, host, ssl_type FROM information_schema.processlist WHERE host LIKE 'slave-ip%';
抓包验证（最后手段）：tcpdump -i any port 3306 -w mysql.pcap，用 Wireshark 打开，搜索 Client Hello 和 Server Hello TLS 握手包

最容易被忽略的是主库 require_secure_transport 和从库 MASTER_SSL_CA 文件一致性——前者漏配，整个加密形同虚设；后者不一致，连接看似成功实则走明文（MySQL 5.7 默认不校验 CA，除非显式设 MASTER_SSL_VERIFY_SERVER_CERT=1）。这两个点不卡死，SSL 主从就是纸糊的盾牌。