การรักษาความปลอดภัย MariaDB ด้วยการสนับสนุน SSL บน Ubuntu 16.04

• ความต้องการ
• ขั้นตอนที่ 1: ติดตั้ง MariaDB
• ขั้นตอนที่ 2: สร้างใบรับรอง SSL และรหัสส่วนตัวสำหรับเซิร์ฟเวอร์
• ขั้นตอนที่ 3: กำหนดค่าเซิร์ฟเวอร์ MariaDB ให้ใช้ SSL
• ขั้นตอนที่ 4: สร้างผู้ใช้ด้วยสิทธิ์ SSL
• ขั้นตอนที่ 5: สร้างใบรับรองไคลเอ็นต์
• ขั้นตอนที่ 6: กำหนดค่าไคลเอนต์ MariaDB เพื่อใช้ SSL
• ขั้นตอนที่ 7: ตรวจสอบการเชื่อมต่อระยะไกล
• ข้อสรุป

MariaDB เป็นฐานข้อมูลโอเพ่นซอร์สฟรีและเป็นการแทนที่แบบดรอปอินที่ใช้กันอย่างแพร่หลายสำหรับ MySQL มันทำโดยนักพัฒนาของ MySQL และตั้งใจที่จะอยู่ภายใต้ GNU GPL มันสามารถปรับขนาดได้อย่างรวดเร็วและมาพร้อมกับคุณสมบัติมากมายที่ทำให้มันใช้งานได้หลากหลายสำหรับกรณีการใช้งานที่หลากหลาย

บทช่วยสอนนี้จะแนะนำวิธีการติดตั้งและกำหนดค่า MariaDB ด้วยการรองรับ SSL บน Ubuntu 16.04

ความต้องการ

• อินสแตนซ์ Ubuntu 16.04 Vultr ใหม่
• ผู้ใช้ที่ไม่ใช่รูทที่มีสิทธิ์ sudo
• ที่อยู่ IP แบบคงที่ 192.168.0.190 ถูกกำหนดค่าบ���อินสแตนซ์ของเซิร์ฟเวอร์
• ที่อยู่ IP แบบคงที่ 192.168.0.191 ได้รับการกำหนดค่าบนเครื่องไคลเอ็นต์

ขั้นตอนที่ 1: ติดตั้ง MariaDB

ตามค่าเริ่มต้น MariaDB รุ่นล่าสุดจะไม่สามารถใช้ได้ในที่เก็บ Ubuntu 16.04 ดังนั้นคุณจะต้องเพิ่มที่เก็บ MariaDB ในระบบของคุณ

ก่อนอื่นให้ดาวน์โหลดกุญแจด้วยคำสั่งต่อไปนี้:

sudo apt-key adv --recv-keys --keyserver hkp://keyserver.ubuntu.com:80 0xF1656F24C74CD1D8

ถัดไปเพิ่มที่เก็บ MariaDB ลงใน/etc/apt/sources.listไฟล์:

sudo echo "deb [arch=amd64,i386,ppc64el] http://ftp.utexas.edu/mariadb/repo/10.1/ubuntu xenial main" >> /etc/apt/sources.list

อัพเดตดัชนี apt ด้วยคำสั่งต่อไปนี้:

sudo apt-get update -y

เมื่ออัปเดตดัชนี apt แล้วให้ติดตั้งเซิร์ฟเวอร์ MariaDB ด้วยคำสั่งต่อไปนี้:

sudo apt-get install mariadb-server -y

เริ่มต้นเซิร์ฟเวอร์ MariaDB และเปิดใช้งานเพื่อเริ่มการทำงานในเวลาบูต:

sudo systemctl start mysql
sudo systemctl enable mysql

ถัดไปคุณจะต้องเรียกใช้mysql_secure_installationสคริปต์เพื่อรักษาความปลอดภัยการติดตั้ง MariaDB สคริปต์นี้อนุญาตให้คุณตั้งรหัสผ่านรูทลบผู้ใช้ที่ไม่ระบุชื่อไม่อนุญาตให้ล็อกอินรูทรีโมตและลบฐานข้อมูลทดสอบ:

sudo mysql_secure_installation

ขั้นตอนที่ 2: สร้างใบรับรอง SSL และรหัสส่วนตัวสำหรับเซิร์ฟเวอร์

ก่อนอื่นให้สร้างไดเรกทอรีเพื่อเก็บไฟล์คีย์และใบรับรองทั้งหมด

sudo mkdir /etc/mysql-ssl

ถัดไปเปลี่ยนไดเร็กทอรีเป็น/etc/mysql-sslและสร้างใบรับรอง CA และไพรเวตคีย์ด้วยคำสั่งต่อไปนี้:

sudo cd /etc/mysql-ssl
sudo openssl genrsa 2048 > ca-key.pem
sudo openssl req -new -x509 -nodes -days 365000 -key ca-key.pem -out ca-cert.pem

ตอบคำถามทั้งหมดที่แสดงด้านล่าง:

You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [AU]:IN
State or Province Name (full name) [Some-State]:GUJ
Locality Name (eg, city) []:JND
Organization Name (eg, company) [Internet Widgits Pty Ltd]:ENJ
Organizational Unit Name (eg, section) []:SYSTEM
Common Name (e.g. server FQDN or YOUR name) []:HITESH
Email Address []:[email protected]

จากนั้นสร้างไพรเวตคีย์สำหรับเซิร์ฟเวอร์ด้วยคำสั่งต่อไปนี้:

sudo openssl req -newkey rsa:2048 -days 365 -nodes -keyout server-key.pem -out server-req.pem

ตอบคำถามทั้งหมดตามที่คุณทำในคำสั่งก่อนหน้า

จากนั้นเอ็กซ์พอร์ตไพรเวตคีย์ของเซิร์ฟเวอร์ไปยังคีย์ RSA-type ด้วยคำสั่งต่อไปนี้:

sudo sudo openssl rsa -in server-key.pem -out server-key.pem

สุดท้ายสร้างใบรับรองเซิร์ฟเวอร์โดยใช้ใบรับรอง CA ดังนี้:

sudo openssl x509 -req -in server-req.pem -days 365 -CA ca-cert.pem -CAkey ca-key.pem -set_serial 01 -out server-cert.pem

ตอนนี้คุณสามารถดูใบรับรองและคีย์ทั้งหมดด้วยคำสั่งต่อไปนี้:

ls

คุณควรเห็นผลลัพธ์ต่อไปนี้:

ca-cert.pem  ca-key.pem  server-cert.pem  server-key.pem  server-req.pem

เมื่อเสร็จแล้วคุณสามารถไปยังขั้นตอนถัดไป

ขั้นตอนที่ 3: กำหนดค่าเซิร์ฟเวอร์ MariaDB ให้ใช้ SSL

คุณควรมีใบรับรองทั้งหมดและคีย์ส่วนตัว และตอนนี้คุณจะต้องกำหนดค่า MariaDB ให้ใช้รหัสและใบรับรอง คุณสามารถทำได้โดยแก้ไข/etc/mysql/mariadb.conf.d/50-server.cnfไฟล์:

sudo nano /etc/mysql/mariadb.conf.d/50-server.cnf

เพิ่มบรรทัดต่อไปนี้ภายใต้[mysqld]ส่วน:

ssl-ca=/etc/mysql-ssl/ca-cert.pem
ssl-cert=/etc/mysql-ssl/server-cert.pem
ssl-key=/etc/mysql-ssl/server-key.pem

##Change this value to connect the MariaDB server from another host.
bind-address = *

บันทึกไฟล์จากนั้นรีสตาร์ทเซอร์วิส MariaDB เพื่อใช้การเปลี่ยนแปลงเหล่านี้:

sudo systemctl restart mysql

ตอนนี้คุณสามารถตรวจสอบว่าการกำหนดค่า SSL ทำงานหรือไม่กับแบบสอบถามต่อไปนี้:

mysql -u root -p
MariaDB [(none)]> SHOW VARIABLES LIKE '%ssl%';

หากการกำหนดค่าสำเร็จคุณควรเห็นผ��ลัพธ์ต่อไปนี้:

+---------------+--------------------------------+
| Variable_name | Value                          |
+---------------+--------------------------------+
| have_openssl  | YES                            |
| have_ssl      | YES                            |
| ssl_ca        | /etc/mysql-ssl/ca-cert.pem     |
| ssl_capath    |                                |
| ssl_cert      | /etc/mysql-ssl/server-cert.pem |
| ssl_cipher    |                                |
| ssl_crl       |                                |
| ssl_crlpath   |                                |
| ssl_key       | /etc/mysql-ssl/server-key.pem  |
+---------------+--------------------------------+

คุณควรสังเกตว่าhave_sslและhave_opensslมีการเปิดใช้งานค่าต่างๆในเอาต์พุตด้านบน

ขั้นตอนที่ 4: สร้างผู้ใช้ด้วยสิทธิ์ SSL

สร้างผู้ใช้ระยะไกลที่มีสิทธิ์เข้าถึงเซิร์ฟเวอร์ MariaDB ผ่าน SSL ทำได้โดยเรียกใช้คำสั่งต่อไปนี้:

ก่อนเข้าสู่ระบบไปยังเปลือก MySQL:

mysql -u root -p

จากนั้นสร้างผู้ใช้remoteและให้สิทธิ์ในการเข้าถึงเซิร์ฟเวอร์ผ่าน SSL

MariaDB [(none)]>GRANT ALL PRIVILEGES ON *.* TO 'remote'@'192.168.0.191' IDENTIFIED BY 'password' REQUIRE SSL;

จากนั้นให้ล้างสิทธิ์ด้วยคำสั่งต่อไปนี้:

MariaDB [(none)]>FLUSH PRIVILEGES;

สุดท้ายออกจากเปลือก MySQL ด้วยคำสั่งต่อไปนี้:

MariaDB [(none)]>exit;

หมายเหตุ: 192.168.0.191 เป็นที่อยู่ IP ของเครื่องผู้ใช้ระยะไกล (ไคลเอนต์)

เซิร์ฟเวอร์ของคุณพร้อมที่จะอนุญาตการเชื่อมต่อกับผู้ใช้ระยะไกลแล้ว

ขั้นตอนที่ 5: สร้างใบรับรองไคลเอ็นต์

การกำหนดค่าฝั่งเซิร์ฟเวอร์ของคุณเสร็จสมบูรณ์ ถัดไปคุณจะต้องสร้างคีย์ใหม่และใบรับรองสำหรับลูกค้า

บนเครื่องเซิร์ฟเวอร์สร้างไคลเอนต์คีย์ด้วยคำสั่งต่อไปนี้:

sudo cd /etc/mysql-ssl
sudo sudo openssl req -newkey rsa:2048 -days 365 -nodes -keyout client-key.pem -out client-req.pem

ถัดไปประมวลผลคีย์ RSA ของลูกค้าด้วยคำสั่งต่อไปนี้:

sudo openssl rsa -in client-key.pem -out client-key.pem

ในที่สุดลงชื่อใบรับรองไคลเอ็นต์ด้วยคำสั่งต่อไปนี้:

sudo openssl x509 -req -in client-req.pem -days 365 -CA ca-cert.pem -CAkey ca-key.pem -set_serial 01 -out client-cert.pem

ขั้นตอนที่ 6: กำหนดค่าไคลเอนต์ MariaDB เพื่อใช้ SSL

ใบรับรองและคีย์ทั้งหมดพร้อมสำหรับลูกค้า ถัดไปคุณจะต้องคัดลอกใบรับรองไคลเอ็นต์ทั้งหมดไปยังเครื่องไคลเอนต์ที่คุณต้องการเรียกใช้ไคลเอนต์ MariaDB

คุณจะต้องติดตั้งไคลเอนต์ MariaDB บนเครื่องไคลเอนต์

ก่อนอื่นบนเครื่องไคลเอนต์ให้ดาวน์โหลดคีย์สำหรับ MariaDB ด้วยคำสั่งต่อไปนี้:

sudo apt-key adv --recv-keys --keyserver hkp://keyserver.ubuntu.com:80 0xF1656F24C74CD1D8

จากนั้นเพิ่มที่เก็บ MariaDB ลงใน/etc/apt/sources.listไฟล์:

sudo echo "deb [arch=amd64,i386,ppc64el] http://ftp.utexas.edu/mariadb/repo/10.1/ubuntu xenial main" >> /etc/apt/sources.list

ถัดไปอัพเดตดัชนี apt ด้วยคำสั่งต่อไปนี้:

sudo apt-get update -y

เมื่ออัปเดตดัชนี apt แล้วให้ติดตั้งไคลเอ็นต์ MariaDB บนเครื่องไคลเอ็นต์ด้วยคำสั่งต่อไปนี้:

sudo apt-get install mariadb-client -y

ตอนนี้สร้างไดเรกทอรีเพื่อเก็บใบรับรองทั้งหมด:

sudo mkdir /etc/mysql-ssl

จากนั้นคัดลอกใบรับรองไคลเอ็นต์ทั้งหมดจากเครื่องเซิร์ฟเวอร์ไปยังเครื่องไคลเอ็นต์ด้วยคำสั่งต่อไปนี้:

sudo scp [email protected]:/etc/mysql-ssl/client-* /etc/mysql-ssl/

จากนั้นคุณจะต้องกำหนดค่าไคลเอนต์ MariaDB เพื่อใช้ SSL คุณสามารถทำได้โดยการสร้าง /etc/mysql/mariadb.conf.d/50-mysql-clients.cnfไฟล์:

sudo nano /etc/mysql/mariadb.conf.d/50-mysql-clients.cnf

เพิ่มบรรทัดต่อไปนี้:

[client]
ssl-ca=/etc/mysql-ssl/ca-cert.pem
ssl-cert=/etc/mysql-ssl/client-cert.pem
ssl-key=/etc/mysql-ssl/client-key.pem

บันทึกไฟล์เมื่อคุณทำเสร็จแล้ว

ขั้นตอนที่ 7: ตรวจสอบการเชื่อมต่อระยะไกล

ตอนนี้ทุกอย่างได้รับการกำหนดค่าแล้วก็ถึงเวลาตรวจสอบว่าคุณสามารถเชื่อมต่อกับเซิร์ฟเวอร์ MariaDB ได้สำเร็จหรือไม่

บนเครื่องไคลเอ็นต์ให้รันคำสั่งต่อไปนี้เพื่อเชื่อมต่อกับเซิร์ฟเวอร์ MariaDB:

mysql -u remote -h 192.168.0.190 -p mysql

คุณจะถูกขอให้ป้อนremoteรหัสผ่านของผู้ใช้ หลังจากให้รหัสผ่านคุณจะเข้าสู่เซิร์ฟเวอร์ MariaDB ระยะไกล

ตรวจสอบสถานะของการเชื่อมต่อด้วยคำสั่งต่อไปนี้:

MariaDB [mysql]> status

คุณควรเห็นผลลัพธ์ต่อไปนี้:

--------------
mysql  Ver 15.1 Distrib 10.2.7-MariaDB, for debian-linux-gnu (x86_64) using readline 5.2

Connection id:      62
Current database:   mysql
Current user:       [email protected]
SSL:            Cipher in use is DHE-RSA-AES256-SHA
Current pager:      stdout
Using outfile:      ''
Using delimiter:    ;
Server:         MariaDB
Server version:     10.0.31-MariaDB-0ubuntu0.16.04.2 Ubuntu 16.04
Protocol version:   10
Connection:     192.168.0.190 via TCP/IP
Server characterset:    utf8mb4
Db     characterset:    utf8mb4
Client characterset:    utf8
Conn.  characterset:    utf8
TCP port:       3306
Uptime:         1 hours 31 min 31 sec

คุณควรเห็นSSL: Cipher in use is DHE-RSA-AES256-SHAในผลลัพธ์ข้างต้น นั่นหมายความว่าการเชื่อมต่อของคุณปลอดภัยด้วย SSL

ข้อสรุป

ขอแสดงความยินดี! คุณได้กำหนดค่าเซิร์ฟเวอร์ MariaDB เรียบร้อยแล้วด้วยการสนับสนุน SSL ตอนนี้คุณสามารถให้สิทธิ์การเข้าถึงแก่ลูกค้ารายอื่นเพื่อเข้าถึงเซิร์ฟเวอร์ MariaDB ผ่าน SSL