Kaitske MariaDB SSL-i toega Ubuntu 16.04-s

MariaDB on tasuta avatud lähtekoodiga andmebaas ja MySQL-i kõige laialdasemalt kasutatav lisandmoodul. Selle on teinud MySQL-i arendajad ja see on mõeldud GNU GPL-i alusel tasuta jääma. See on väga kiire, skaleeritav ja sisaldab rikkalikku funktsioonide komplekti, mis muudavad selle väga mitmekülgseks mitmesuguste kasutusjuhtude jaoks.

See õpetus juhendab teid, kuidas installida ja konfigureerida MariaDB SSL-i toega versioonis Ubuntu 16.04.

Nõuded

• Värske Ubuntu 16.04 Vultr eksemplar.
• Sudo õigustega mitte-root kasutaja.
• Serveri eksemplaris on konfigureeritud staatiline IP-aadress 192.168.0.190.
• Kliendiseadmes on konfigureeritud staatiline IP-aadress 192.168.0.191.

1. samm: installige MariaDB

Vaikimisi pole MariaDB uusim versioon Ubuntu 16.04 hoidlas saadaval; nii et peate oma süsteemi lisama MariaDB hoidla.

Esmalt laadige võti alla järgmise käsuga:

sudo apt-key adv --recv-keys --keyserver hkp://keyserver.ubuntu.com:80 0xF1656F24C74CD1D8

Järgmisena lisage /etc/apt/sources.listfaili MariaDB hoidla :

sudo echo "deb [arch=amd64,i386,ppc64el] http://ftp.utexas.edu/mariadb/repo/10.1/ubuntu xenial main" >> /etc/apt/sources.list

Värskendage apt indeksit järgmise käsuga:

sudo apt-get update -y

Kui apt indeks on värskendatud, installige MariaDB server järgmise käsuga:

sudo apt-get install mariadb-server -y

Käivitage MariaDB server ja lubage see alglaadimisajal käivituma:

sudo systemctl start mysql
sudo systemctl enable mysql

Järgmisena peate mysql_secure_installationMariaDB installimise turvamiseks käivitama skripti. See skript võimaldab teil määrata juurparooli, eemaldada anonüümsed kasutajad, keelata kaugjuurdepääsu ja eemaldada testandmebaasi:

sudo mysql_secure_installation

2. samm: looge serveri jaoks SSL-sertifikaat ja privaatvõti

Kõigepealt looge kataloog, kuhu salvestada kõik võtme- ja sertifikaadifailid.

sudo mkdir /etc/mysql-ssl

Järgmisena muutke kataloogiks /etc/mysql-sslja looge CA-sertifikaat ja privaatvõti järgmise käsuga:

sudo cd /etc/mysql-ssl
sudo openssl genrsa 2048 > ca-key.pem
sudo openssl req -new -x509 -nodes -days 365000 -key ca-key.pem -out ca-cert.pem

Vastake kõigile küsimustele, nagu allpool näidatud:

You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [AU]:IN
State or Province Name (full name) [Some-State]:GUJ
Locality Name (eg, city) []:JND
Organization Name (eg, company) [Internet Widgits Pty Ltd]:ENJ
Organizational Unit Name (eg, section) []:SYSTEM
Common Name (e.g. server FQDN or YOUR name) []:HITESH
Email Address []:[email protected]

Järgmisena looge serveri jaoks privaatvõti järgmise käsuga:

sudo openssl req -newkey rsa:2048 -days 365 -nodes -keyout server-key.pem -out server-req.pem

Vastake kõikidele küsimustele nagu eelmises käsus.

Järgmisena eksportige serveri privaatvõti RSA-tüüpi võtmesse järgmise käsuga:

sudo sudo openssl rsa -in server-key.pem -out server-key.pem

Lõpuks looge CA-sertifikaadi abil serveri sertifikaat järgmiselt.

sudo openssl x509 -req -in server-req.pem -days 365 -CA ca-cert.pem -CAkey ca-key.pem -set_serial 01 -out server-cert.pem

Nüüd näete kõiki sertifikaate ja võtit järgmise käsuga:

ls

Peaksite nägema järgmist väljundit:

ca-cert.pem  ca-key.pem  server-cert.pem  server-key.pem  server-req.pem

Kui olete lõpetanud, võite jätkata järgmise sammuga.

3. samm: konfigureerige MariaDB server SSL-i kasutamiseks

Teil peaksid olema kõik sertifikaadid ja privaatvõti; ja nüüd peate konfigureerima MariaDB võtme ja sertifikaatide kasutamiseks. Seda saate teha /etc/mysql/mariadb.conf.d/50-server.cnffaili redigeerimisega :

sudo nano /etc/mysql/mariadb.conf.d/50-server.cnf

Lisage [mysqld]jaotise alla järgmised read :

ssl-ca=/etc/mysql-ssl/ca-cert.pem
ssl-cert=/etc/mysql-ssl/server-cert.pem
ssl-key=/etc/mysql-ssl/server-key.pem

##Change this value to connect the MariaDB server from another host.
bind-address = *

Salvestage fail ja taaskäivitage teenus MariaDB, et rakendada neid muudatusi:

sudo systemctl restart mysql

Nüüd saate järgmise päringuga kontrollida, kas SSL-i konfiguratsioon töötab või mitte:

mysql -u root -p
MariaDB [(none)]> SHOW VARIABLES LIKE '%ssl%';

Kui seadistamine õnnestus, peaksite nägema järgmist väljundit:

+---------------+--------------------------------+
| Variable_name | Value                          |
+---------------+--------------------------------+
| have_openssl  | YES                            |
| have_ssl      | YES                            |
| ssl_ca        | /etc/mysql-ssl/ca-cert.pem     |
| ssl_capath    |                                |
| ssl_cert      | /etc/mysql-ssl/server-cert.pem |
| ssl_cipher    |                                |
| ssl_crl       |                                |
| ssl_crlpath   |                                |
| ssl_key       | /etc/mysql-ssl/server-key.pem  |
+---------------+--------------------------------+

Peaksite märkama , et ülaltoodud väljundis on have_sslja have_opensslväärtused lubatud.

4. samm: looge SSL-õigustega kasutaja

Looge kaugkasutaja, kellel on SSL-i kaudu MariaDB-serverile juurdepääsu õigus. Tehke seda, käivitades järgmise käsu:

Esiteks logige sisse MySQL-i kesta:

mysql -u root -p

Järgmisena looge kasutaja remoteja andke SSL-i kaudu serverile juurdepääsu õigus.

MariaDB [(none)]>GRANT ALL PRIVILEGES ON *.* TO 'remote'@'192.168.0.191' IDENTIFIED BY 'password' REQUIRE SSL;

Seejärel loputage õigused järgmise käsuga:

MariaDB [(none)]>FLUSH PRIVILEGES;

Lõpuks väljuge MySQL-i kestast järgmise käsuga:

MariaDB [(none)]>exit;

Märkus. 192.168.0.191 on kaugkasutaja (kliendi) masina IP-aadress.

Teie server on nüüd valmis lubama ühendusi kaugkasutajaga.

5. samm: looge kliendi sertifikaat

Teie serveripoolne konfiguratsioon on lõpetatud. Järgmisena peate looma kliendile uue võtme ja sertifikaadi.

Looge serverimasinas kliendivõti järgmise käsuga:

sudo cd /etc/mysql-ssl
sudo sudo openssl req -newkey rsa:2048 -days 365 -nodes -keyout client-key.pem -out client-req.pem

Järgmisena töödelge kliendi RSA-võtit järgmise käsuga:

sudo openssl rsa -in client-key.pem -out client-key.pem

Lõpuks allkirjastage kliendi sertifikaat järgmise käsuga:

sudo openssl x509 -req -in client-req.pem -days 365 -CA ca-cert.pem -CAkey ca-key.pem -set_serial 01 -out client-cert.pem

6. samm: konfigureerige MariaDB klient SSL-i kasutama

Kõik sertifikaadid ja võti on kliendi jaoks valmis. Järgmisena peate kopeerima kõik kliendi sertifikaadid mis tahes kliendi masinasse, kus soovite MariaDB klienti käitada.

Peate installima kliendi masinasse MariaDB kliendi.

Esiteks laadige kliendi masinas alla MariaDB võti järgmise käsuga:

sudo apt-key adv --recv-keys --keyserver hkp://keyserver.ubuntu.com:80 0xF1656F24C74CD1D8

Seejärel lisage /etc/apt/sources.listfailile MariaDB hoidla :

sudo echo "deb [arch=amd64,i386,ppc64el] http://ftp.utexas.edu/mariadb/repo/10.1/ubuntu xenial main" >> /etc/apt/sources.list

Järgmisena värskendage apt indeksit järgmise käsuga:

sudo apt-get update -y

Kui apt indeks on värskendatud, installige MariaDB klient kliendi masinasse järgmise käsuga:

sudo apt-get install mariadb-client -y

Nüüd looge kõigi sertifikaatide salvestamiseks kataloog:

sudo mkdir /etc/mysql-ssl

Järgmiseks kopeerige kõik kliendi sertifikaadid serverimasinast kliendi masinasse järgmise käsuga:

sudo scp [email protected]:/etc/mysql-ssl/client-* /etc/mysql-ssl/

Seejärel peate konfigureerima MariaDB kliendi SSL-i kasutamiseks. Seda saate teha /etc/mysql/mariadb.conf.d/50-mysql-clients.cnffaili loomisega :

sudo nano /etc/mysql/mariadb.conf.d/50-mysql-clients.cnf

Lisage järgmised read:

[client]
ssl-ca=/etc/mysql-ssl/ca-cert.pem
ssl-cert=/etc/mysql-ssl/client-cert.pem
ssl-key=/etc/mysql-ssl/client-key.pem

Kui olete lõpetanud, salvestage fail.

7. samm: kontrollige kaugühendusi

Nüüd, kui kõik on konfigureeritud, on aeg kontrollida, kas saate MariaDB serveriga ühenduse luua või mitte.

MariaDB-serveriga ühenduse loomiseks käivitage kliendi masinas järgmine käsk:

mysql -u remote -h 192.168.0.190 -p mysql

Teil palutakse sisestada remotekasutaja parool. Pärast parooli andmist logitakse teid sisse MariaDB kaugserverisse.

Kontrollige ühenduse olekut järgmise käsuga:

MariaDB [mysql]> status

Peaksite nägema järgmist väljundit:

--------------
mysql  Ver 15.1 Distrib 10.2.7-MariaDB, for debian-linux-gnu (x86_64) using readline 5.2

Connection id:      62
Current database:   mysql
Current user:       [email protected]
SSL:            Cipher in use is DHE-RSA-AES256-SHA
Current pager:      stdout
Using outfile:      ''
Using delimiter:    ;
Server:         MariaDB
Server version:     10.0.31-MariaDB-0ubuntu0.16.04.2 Ubuntu 16.04
Protocol version:   10
Connection:     192.168.0.190 via TCP/IP
Server characterset:    utf8mb4
Db     characterset:    utf8mb4
Client characterset:    utf8
Conn.  characterset:    utf8
TCP port:       3306
Uptime:         1 hours 31 min 31 sec

Peaksite nägema SSL: Cipher in use is DHE-RSA-AES256-SHAülaltoodud väljundis. See tähendab, et teie ühendus on nüüd SSL-iga turvaline.

Järeldus

Palju õnne! Olete edukalt konfigureerinud SSL-toega MariaDB-serveri. Nüüd saate anda teistele klientidele juurdepääsu MariaDB serverile SSL-i kaudu.