MySQL Mariadb 主从复制之 SSL 实战

主库配置

 vi /etc/my.cnf
    server-id = 1 # 在复制架构中，需保持全局唯一
    log-bin = mysql-bin # 默认在数据目录下
    sync_binlog = 1 # 设置mariadb每次在提交事务前会将二进制日志同步到磁盘，保证服务器崩溃时不会丢失事件

service mysqld start # 启动mariadb10

mysql -hlocalhost -uroot -p # 登录mysql
MariaDB [mysql]> grant replication slave,replication client on *.* to 'repl'@'%' identified by '123456'; # 创建最小权限的复制账号
MariaDB [mysql]> flush privileges;
MariaDB [mysql]> show master status; # 查看主库的状态信息

从库配置

vi /etc/my.cnf
    server-id = 11 # 在复制架构中，需保持全局唯一
    log-bin = mysql-bin # 也可设置为none，即关闭从库的二进制日志
    relay-log=/data/relaylogs/relay-bin # 设置中继日志文件
    log-slave-updates = 1 # 允许从库将其重放的事件也记录到自身的二进制日志中
    read_only = 1 # 从库设置为只读

service mysqld start # 启动mariadb10

mysql -hlocalhost -uroot -p # 登录mysql
MariaDB [mysql]> change master to master_host='172.1.1.1',master_user='repl',master_password='123456',master_log_file='mysql-bin.000001',master_log_pos=100; # 连接主库
MariaDB [mysql]> start slave;
MariaDB [mysql]> show slave status\G 查看从库状态

SSL支持状态检查

若have_ssl的值为YES，则表明SSL功能已开启使用；若have_ssl的值为NO，则说明SSL功能并未编译进目前的Mariadb，需要重新编译程序；若have_ssl的值为DISABLED，则表示mariadb编译时加载了SSL功能，但未启用，一般以通用二进制程序安装的Mariadb都是此值；

查看库文件：

ldd `which mysqld` | grep ssl # 还需查看是否存在libssl.so文件，若不存在，则说明缺少库文件# 麻烦的是若要安装此缺少的库文件，则需安装libopenssl.1.0.0的程序包，但这个包的安装依赖于glibc2.14版本，而CentOS6.5系统上原生的是glibc2.12版本的，这下就又涉及glibc的升级了，过于麻烦了，而且也很危险，故放弃之# 那么就只能重新编译安装mariadb10了，从官网下载最新版的源码包安装吧(www.mariadb.com)

配置基于SSL的安全复制

chown -R mysql.mysql /etc/master/ssl/ # 注意修改认证相关文件的权限

vi /etc/my.cnf # 在mysqld段下添加如下内容
[mysqld]
ssl_ca= /etc/master/ssl/ca.pem # 配置CA证书
ssl_cert = /etc/master/ssl/master.crt # 配置主库证书
ssl_key = /etc/master/ssl/master.key # 配置主库私钥
ssl_cipher = DHE-RSA-AES256-SHA # 指定支持的加密算法

service mysqld reload # 重载配置

# 再次查看相关变量：
MariaDB [(none)]> show variables like '%ssl%' # 见下图
# 创建复制账户：
MariaDB [mysql]> grant replication slave, replication client on *.* to 'repl'@'%' identified by '123456' require ssl; # 特别明确必须通过SSL才能复制

从库配置

chown -R mysql.mysql /etc/slave/ssl/

MariaDB [mysql]> change master to master_host='172.1.1.1',master_user='repl', master_password='123456', master_log_file='mysql-bin.000001',master_log_pos=100, master_ssl=1, master_ssl_ca='/etc/slave/ssl/ca.pem',master_ssl_cert='/etc/slave/ssl/slave.crt',master_ssl_key='/etc/slave/ssl/slave.key'; # 在连接主库时直接指定本地从库的证书文件等信息
MariaDB [mysql]> start slave;
MariaDB [mysql]> show slave status\G # 查看从库状态

从库的另一种配置方法

vi /root/.my.cnf # 在client段下配置从库证书信息
[client]
ssl_ca = /etc/slave/ssl/cacert.pem
ssl_cert = /etc/slave/ssl/slave.crt
ssl_key = /etc/slave/ssl/slave.key
ssl_cipher = DHE-RSA-AES256-SHA

MariaDB [mysql]> change master to master_host='172.1.1.1',master_user='repl',master_password='123456',master_log_file='mysql-bin.000001',master_log_pos=100,master_ssl=1; # 只需指定master_ssl=1即可

后端大哥

MySQL Mariadb 主从复制之 SSL 实战