Ubuntu 16.04에서 SSL을 지원하는 안전한 MariaDB

• 요구 사항
• 1 단계 : MariaDB 설치
• 2 단계 : 서버에 대한 SSL 인증서 및 개인 키 작성
• 3 단계 : SSL을 사용하도록 MariaDB 서버 구성
• 4 단계 : SSL 권한이있는 사용자 작성
• 5 단계 : 클라이언트 인증서 생성
• 6 단계 : SSL을 사용하도록 MariaDB 클라이언트 구성
• 7 단계 : 원격 연결 확인
• 결론

MariaDB는 무료 오픈 소스 데이터베이스이며 MySQL에서 가장 널리 사용되는 드롭 인 대체품입니다. MySQL 개발자가 만든 것으로 GNU GPL 하에서 자유로 워야합니다. 매우 빠르고 확장 가능하며 다양한 사용 사례에 매우 유용한 다양한 기능 세트가 제공됩니다.

이 튜토리얼은 Ubuntu 16.04에서 SSL을 지원하는 MariaDB를 설치하고 구성하는 방법을 안내합니다.

요구 사항

• 새로운 우분투 16.04 Vultr 인스턴스.
• sudo 권한이있는 루트가 아닌 사용자
• 고정 IP 주소 192.168.0.190이 서버 인스턴스에 구성되어 있습니다.
• 고정 IP 주소 192.168.0.191이 클라이언트 시스템에 구성되어 있습니다.

1 단계 : MariaDB 설치

기본적으로 Ubuntu 16.04 리포지토리에서 최신 버전의 MariaDB를 사용할 수 없습니다. 따라서 시스템에 MariaDB 저장소를 추가해야합니다.

먼저 다음 명령으로 키를 다운로드하십시오.

sudo apt-key adv --recv-keys --keyserver hkp://keyserver.ubuntu.com:80 0xF1656F24C74CD1D8

다음으로 MariaDB 저장소를 /etc/apt/sources.list파일에 추가 하십시오.

sudo echo "deb [arch=amd64,i386,ppc64el] http://ftp.utexas.edu/mariadb/repo/10.1/ubuntu xenial main" >> /etc/apt/sources.list

다음 명령으로 apt 색인을 업데이트하십시오.

sudo apt-get update -y

apt 색인이 업데이트되면 다음 명령을 사용하여 MariaDB 서버를 설치하십시오.

sudo apt-get install mariadb-server -y

MariaDB 서버를 시작하고 부팅시 시작하도록 활성화하십시오.

sudo systemctl start mysql
sudo systemctl enable mysql

다음으로 mysql_secure_installationMariaDB 설치를 보호하기 위해 스크립트를 실행해야 합니다. 이 스크립트를 사용하면 루트 비밀번호를 설정하고 익명 사용자를 제거하고 원격 루트 로그인을 허용하지 않고 테스트 데이터베이스를 제거 할 수 있습니다.

sudo mysql_secure_installation

2 단계 : 서버에 대한 SSL 인증서 및 개인 키 작성

먼저 모든 키 및 인증서 파일을 저장할 디렉토리를 작성하십시오.

sudo mkdir /etc/mysql-ssl

다음으로 디렉토리를 변경 /etc/mysql-ssl하고 다음 명령으로 CA 인증서 및 개인 키를 작성하십시오.

sudo cd /etc/mysql-ssl
sudo openssl genrsa 2048 > ca-key.pem
sudo openssl req -new -x509 -nodes -days 365000 -key ca-key.pem -out ca-cert.pem

아래와 같이 모든 질문에 답하십시오 :

You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [AU]:IN
State or Province Name (full name) [Some-State]:GUJ
Locality Name (eg, city) []:JND
Organization Name (eg, company) [Internet Widgits Pty Ltd]:ENJ
Organizational Unit Name (eg, section) []:SYSTEM
Common Name (e.g. server FQDN or YOUR name) []:HITESH
Email Address []:[email protected]

다음 명령으로 서버의 개인 키를 작성하십시오.

sudo openssl req -newkey rsa:2048 -days 365 -nodes -keyout server-key.pem -out server-req.pem

이전 명령에서했던 것처럼 모든 질문에 대답하십시오.

다음 명령을 사용하여 서버의 개인 키를 RSA 유형 키로 내 보냅니다.

sudo sudo openssl rsa -in server-key.pem -out server-key.pem

마지막으로 다음과 같이 CA 인증서를 사용하여 서버 인증서를 생성하십시오.

sudo openssl x509 -req -in server-req.pem -days 365 -CA ca-cert.pem -CAkey ca-key.pem -set_serial 01 -out server-cert.pem

이제 다음 명령으로 모든 인증서와 키를 볼 수 있습니다.

ls

다음과 같은 결과가 나타납니다.

ca-cert.pem  ca-key.pem  server-cert.pem  server-key.pem  server-req.pem

완료되면 다음 단계로 진행할 수 있습니다.

3 단계 : SSL을 사용하도록 MariaDB 서버 구성

모든 인증서와 개인 키가 있어야합니다. 이제 키와 인증서를 사용하도록 MariaDB를 구성해야합니다. /etc/mysql/mariadb.conf.d/50-server.cnf파일 을 편집하여이를 수행 할 수 있습니다 .

sudo nano /etc/mysql/mariadb.conf.d/50-server.cnf

[mysqld]섹션 아래에 다음 줄을 추가 하십시오.

ssl-ca=/etc/mysql-ssl/ca-cert.pem
ssl-cert=/etc/mysql-ssl/server-cert.pem
ssl-key=/etc/mysql-ssl/server-key.pem

##Change this value to connect the MariaDB server from another host.
bind-address = *

파일을 저장 한 다음 MariaDB 서비스를 다시 시작하여 다음 변경 사항을 적용하십시오.

sudo systemctl restart mysql

이제 다음 쿼리에서 SSL 구성이 작동 중인지 확인할 수 있습니다.

mysql -u root -p
MariaDB [(none)]> SHOW VARIABLES LIKE '%ssl%';

구성에 성공하면 다음 출력이 표시됩니다.

+---------------+--------------------------------+
| Variable_name | Value                          |
+---------------+--------------------------------+
| have_openssl  | YES                            |
| have_ssl      | YES                            |
| ssl_ca        | /etc/mysql-ssl/ca-cert.pem     |
| ssl_capath    |                                |
| ssl_cert      | /etc/mysql-ssl/server-cert.pem |
| ssl_cipher    |                                |
| ssl_crl       |                                |
| ssl_crlpath   |                                |
| ssl_key       | /etc/mysql-ssl/server-key.pem  |
+---------------+--------------------------------+

당신은 통지해야 have_ssl하고 have_openssl값은 위의 출력에 사용할 수 있습니다.

4 단계 : SSL 권한이있는 사용자 작성

SSL을 통해 MariaDB 서버에 액세스 할 권한이있는 원격 사용자를 작성하십시오. 다음 명령을 실행하여이를 수행하십시오.

먼저 MySQL 쉘에 로그인하십시오 :

mysql -u root -p

그런 다음, 사용자를 작성 remote하고 SSL을 통해 서버에 액세스 할 수있는 권한을 부여하십시오.

MariaDB [(none)]>GRANT ALL PRIVILEGES ON *.* TO 'remote'@'192.168.0.191' IDENTIFIED BY 'password' REQUIRE SSL;

그런 다음 다음 명령으로 권한을 플러시하십시오.

MariaDB [(none)]>FLUSH PRIVILEGES;

마지막으로 다음 명령을 사용하여 MySQL 셸을 종료하십시오.

MariaDB [(none)]>exit;

참고 : 192.168.0.191은 원격 사용자 (클라이언트) 시스템의 IP 주소입니다.

이제 서버가 원격 사용자에게 연결할 수 있습니다.

5 단계 : 클라이언트 인증서 생성

서버 측 구성이 완료되었습니다. 다음으로 클라이언트에 대한 새 키와 인증서를 작성해야합니다.

서버 시스템에서 다음 명령을 사용하여 클라이언트 키를 작성하십시오.

sudo cd /etc/mysql-ssl
sudo sudo openssl req -newkey rsa:2048 -days 365 -nodes -keyout client-key.pem -out client-req.pem

다음 명령으로 클라이언트 RSA 키를 처리하십시오.

sudo openssl rsa -in client-key.pem -out client-key.pem

마지막으로 다음 명령으로 클라이언트 인증서에 서명하십시오.

sudo openssl x509 -req -in client-req.pem -days 365 -CA ca-cert.pem -CAkey ca-key.pem -set_serial 01 -out client-cert.pem

6 단계 : SSL을 사용하도록 MariaDB 클라이언트 구성

모든 인증서와 키가 클라이언트를 위해 준비되었습니다. 다음으로, 모든 클라이언트 인증서를 MariaDB 클라이언트를 실행하려는 클라이언트 시스템으로 복사해야합니다.

클라이언트 머신에 MariaDB 클라이언트를 설치해야합니다.

먼저 클라이언트 시스템에서 다음 명령을 사용하여 MariaDB 키를 다운로드하십시오.

sudo apt-key adv --recv-keys --keyserver hkp://keyserver.ubuntu.com:80 0xF1656F24C74CD1D8

그런 다음 MariaDB 저장소를 /etc/apt/sources.list파일에 추가 하십시오.

sudo echo "deb [arch=amd64,i386,ppc64el] http://ftp.utexas.edu/mariadb/repo/10.1/ubuntu xenial main" >> /etc/apt/sources.list

다음 명령으로 apt 색인을 업데이트하십시오.

sudo apt-get update -y

apt 색인이 업데이트되면 다음 명령을 사용하여 클라이언트 머신에 MariaDB 클라이언트를 설치하십시오.

sudo apt-get install mariadb-client -y

이제 모든 인증서를 저장할 디렉토리를 작성하십시오.

sudo mkdir /etc/mysql-ssl

다음 명령을 사용하여 모든 클라이언트 인증서를 서버 시스템에서 클라이언트 시스템으로 복사하십시오.

sudo scp [email protected]:/etc/mysql-ssl/client-* /etc/mysql-ssl/

그런 다음 SSL을 사용하도록 MariaDB 클라이언트를 구성해야합니다. /etc/mysql/mariadb.conf.d/50-mysql-clients.cnf파일 을 작성하여이를 수행 할 수 있습니다 .

sudo nano /etc/mysql/mariadb.conf.d/50-mysql-clients.cnf

다음 줄을 추가하십시오.

[client]
ssl-ca=/etc/mysql-ssl/ca-cert.pem
ssl-cert=/etc/mysql-ssl/client-cert.pem
ssl-key=/etc/mysql-ssl/client-key.pem

완료되면 파일을 저장하십시오.

7 단계 : 원격 연결 확인

이제 모든 것이 구성되었으므로 이제 MariaDB 서버에 연결할 수 있는지 여부를 확인할 차례입니다.

클라이언트 시스템에서 다음 명령을 실행하여 MariaDB 서버에 연결하십시오.

mysql -u remote -h 192.168.0.190 -p mysql

remote사용자 비밀번호 를 입력하라는 메시지가 표시됩니다 . 암호를 입력하면 원격 MariaDB 서버에 로그인됩니다.

다음 명령으로 연결 상태를 확인하십시오.

MariaDB [mysql]> status

다음과 같은 결과가 나타납니다.

--------------
mysql  Ver 15.1 Distrib 10.2.7-MariaDB, for debian-linux-gnu (x86_64) using readline 5.2

Connection id:      62
Current database:   mysql
Current user:       [email protected]
SSL:            Cipher in use is DHE-RSA-AES256-SHA
Current pager:      stdout
Using outfile:      ''
Using delimiter:    ;
Server:         MariaDB
Server version:     10.0.31-MariaDB-0ubuntu0.16.04.2 Ubuntu 16.04
Protocol version:   10
Connection:     192.168.0.190 via TCP/IP
Server characterset:    utf8mb4
Db     characterset:    utf8mb4
Client characterset:    utf8
Conn.  characterset:    utf8
TCP port:       3306
Uptime:         1 hours 31 min 31 sec

SSL: Cipher in use is DHE-RSA-AES256-SHA위 출력에서 볼 수 있습니다. 즉, 이제 SSL로 안전하게 연결됩니다.

결론

축하합니다! SSL을 지원하는 MariaDB 서버를 성공적으로 구성했습니다. 이제 SSL을 통해 MariaDB 서버에 액세스하기 위해 다른 클라이언트에 대한 액세스 권한을 부여 할 수 있습니다.