韓誥傭痔

Table of Contents

1 唬棗紳款勳眶喝娶硃釵勳車紳 de cifrado en MySQL

1 唬棗紳款勳眶喝娶硃釵勳車紳 de cifrado en MySQL

Descripci車n general

Esta secci車n proporciona varios ejemplos de configuraci車n de cifrado para CentOS 8.2 y MySQL 8.0.21 y se puede utilizar como gu赤a de inicio r芍pido para cifrar la conexi車n a la base de datos.

Si el host MySQL est芍 configurado en localhost, las opciones de cifrado no estar芍n disponibles. En este caso, una conexi車n entre la interfaz de 韓誥傭痔 y la base de datos utiliza un archivo de socket (en Unix) o memoria compartida (en Windows) y no se puede cifrar.

La lista de las combinaciones de cifrado no se limita a las que figuran en esta p芍gina. Hay muchas m芍s combinaciones disponibles.

Requisitos previos

Instale la base de datos MySQL desde el .

Ver la para obtener detalles sobre c車mo utilizar el repositorio de MySQL.

El servidor MySQL est芍 listo para aceptar conexiones seguras mediante un archivo de certificado autofirmado..

Para ver qu谷 usuarios est芍n utilizando una conexi車n cifrada, ejecute la siguiente consulta (el esquema de rendimiento debe estar activado):

mysql> SELECT sbt.variable_value AS tls_version, t2.variable_value AS cipher, processlist_user AS user, processlist_host AS host 
               FROM performance_schema.status_by_threadAS sbt
               JOIN performance_schema.threads AS t ON t.thread_id = sbt.thread_id
               JOIN performance_schema.status_by_thread AS t2 ON t2.thread_id = t.thread_id
               WHERE sbt.variable_name = 'Ssl_version' and t2.variable_name = 'Ssl_cipher'
               ORDER BY tls_version;

Modo requerido

唬棗紳款勳眶喝娶硃釵勳車紳 de MySQL

Las versiones modernas de la base de datos est芍n listas para usar el modo de cifrado requerido. El certificado del lado del servidor se crear芍 despu谷s de la configuraci車n y el lanzamiento iniciales.

Cree usuarios y roles para los componentes principales:

mysql> CREATE USER   
        'zbx_srv'@'%' IDENTIFIED WITH mysql_native_password BY '<strong_password>',
        'zbx_web'@'%' IDENTIFIED WITH mysql_native_password BY '<strong_password>'
        REQUIRE SSL   
        PASSWORD HISTORY 5; 
       
       mysql> CREATE ROLE 'zbx_srv_role', 'zbx_web_role'; 
       
       mysql> GRANT SELECT, UPDATE, DELETE, INSERT, CREATE, DROP, ALTER, INDEX, REFERENCES ON zabbix.* TO 'zbx_srv_role'; 
       mysql> GRANT SELECT, UPDATE, DELETE, INSERT ON zabbix.* TO 'zbx_web_role'; 
       
       mysql> GRANT 'zbx_srv_role' TO 'zbx_srv'@'%';
       mysql> GRANT 'zbx_web_role' TO 'zbx_web'@'%';
       
       mysql> SET DEFAULT ROLE 'zbx_srv_role' TO 'zbx_srv'@'%'; 
       mysql> SET DEFAULT ROLE 'zbx_web_role' TO 'zbx_web'@'%';

Tenga en cuenta que el protocolo X.509 no se utiliza para comprobar la identidad, pero el usuario est芍 configurado para utilizar s車lo conexiones cifradas. Ver la para obtener m芍s detalles sobre la configuraci車n de usuarios.

Ejecute para verificar la conexi車n (la conexi車n del socket no se puede usar para probar las conexiones seguras):

mysql -u zbx_srv -p -h 10.211.55.9 --ssl-mode=REQUIRED

Verifique el estado actual y los conjuntos de cifrado disponibles:

mysql> status
       --------------
       mysql Ver 8.0.21 for Linux on x86_64 (MySQL Community Server - GPL)
       
       Connection id: 62
       Current database:
       Current user: [email protected]
       SSL: Cipher in use is TLS_AES_256_GCM_SHA384
       
       
       mysql> SHOW SESSION STATUS LIKE 'Ssl_cipher_list'\G;
       *** 1. fila  **
       Variable_name: Ssl_cipher_list
       Value: TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256:TLS_AES_128_GCM_SHA256:TLS_AES_128_CCM_SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-DSS-AES128-GCM-SHA256:DHE-RSA-AES128-SHA256:DHE-DSS-AES128-SHA256:DHE-DSS-AES256-GCM-SHA384:DHE-RSA-AES256-SHA256:DHE-DSS-AES256-SHA256:DHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA:ECDHE-ECDSA-AES256-SHA:DHE-DSS-AES128-SHA:DHE-RSA-AES128-SHA:DHE-DSS-AES256-SHA:DHE-RSA-AES256-SHA:AES256-SHA:CAMELLIA256-SHA:CAMELLIA128-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128-SHA
       1 row in set (0.00 sec)
       
       ERROR:
       No se ha especificado ninguna consulta

Interfaz

Para habilitar el cifrado de solo transporte para conexiones entre la interfaz de 韓誥傭痔 y la base de datos:

Marque Cifrado TLS de la base de datos
Deje Verificar certificado de base de datos sin marcar

Servidor

Para habilitar el cifrado de solo transporte para las conexiones entre el servidor y la base de datos, configure /etc/zabbix/zabbix_server.conf:

...
       DBHost=10.211.55.9
       DBName=zabbix
       DBUser=zbx_srv
       DBPassword=<strong_password>
       DBTLSConnect=required
       ...

Modo de verificaci車n de CA

Copie el archivo CA de MySQL requerida al servidor frontend de 韓誥傭痔, asigne los permisos adecuados para permitir que el servidor web lea este archivo.

El modo Verificar CA no funciona en SLES 12 y RHEL 7 debido a bibliotecas MySQL m芍s antiguas.

Interfaz

Para habilitar el cifrado con verificaci車n de certificado para conexiones entre la interfaz de 韓誥傭痔 y la base de datos:

Active Cifrado TLS de base de datos y Verificar certificado de base de datos
Especifique la ruta al archivo CA TLS de la base de datos

Alternativamente, esto se puede configurar en /etc/zabbix/web/zabbix.conf.php:

...
       $DB['ENCRYPTION'] = true;
       $DB['KEY_FILE'] = '';
       $DB['CERT_FILE'] = '';
       $DB['CA_FILE'] = '/etc/ssl/mysql/ca.pem';
       $DB['VERIFY_HOST'] = falso;
       $DB['CIPHER_LIST'] = '';
       ...

Solucione problemas del usuario usando la herramienta de l赤nea de comandos para verificar si la conexi車n es posible para el usuario requerido:

mysql -u zbx_web -p -h 10.211.55.9 --ssl-mode=REQUIRED --ssl-ca=/var/lib/mysql/ca.pem

Servidor

Para habilitar el cifrado con verificaci車n de certificado para conexiones entre el servidor 韓誥傭痔 y la base de datos, configure /etc/zabbix/zabbix_server.conf:

...
       DBHost=10.211.55.9
       DBName=zabbix
       DBUser=zbx_srv
       DBPassword=<strong_password>
       DBTLSConnect=verify_ca
       DBTLSCAFile=/etc/ssl/mysql/ca.pem
       ...

Modo de verificaci車n completa

唬棗紳款勳眶喝娶硃釵勳車紳 de MySQL

Establezca la opci車n de configuraci車n del servidor MySQL CE (/etc/my.cnf.d/server-tls.cnf) a:

[mysqld]
       ...
       # en este ejemplo, las claves se encuentran en el directorio datadir de MySQL CE
       ssl_ca=ca.pem
       ssl_cert=server-cert.pem
       ssl_key=server-key.pem
       
       require_secure_transport=ON
       tls_version=TLSv1.3
       ...

Las claves para el servidor y cliente MySQL CE (frontend 韓誥傭痔) deben ser creadas manualmente seg迆n la documentaci車n de MySQL CE: ?o

El certificado del servidor MySQL debe contener el campo "Common Name" establecido en el nombre FQDN ya que la interfaz de 韓誥傭痔 utilizar芍 el nombre DNS para comunicarse con la base de datos o direcci車n IP del equipo de la base de datos.

Crear usuario MySQL:

mysql> CREATE USER
         'zbx_srv'@'%' IDENTIFIED WITH mysql_native_password BY '<strong_password>',
         'zbx_web'@'%' IDENTIFIED WITH mysql_native_password BY '<strong_password>'
         REQUIRE X509
         PASSWORD HISTORY 5;

Compruebe si es posible iniciar sesi車n con ese usuario:

mysql -u zbx_web -p -h 10.211.55.9 --ssl-mode=VERIFY_IDENTITY --ssl-ca=/var/lib/mysql/ca.pem --ssl-cert=/var/lib/mysql/client-cert.pem --ssl-key=/var/lib/mysql/client-key.pem

Interfaz

Para habilitar el cifrado con verificaci車n completa para conexiones entre la Interfaz de 韓誥傭痔 y la base de datos:

Verifique el cifrado TLS de la base de datos y verifique el certificado de la base de datos
Especifique la ruta al archivo de clave TLS de la base de datos
Especifique la ruta al archivo CA TLS de la base de datos
Especifique la ruta al archivo de certificado TLS de la base de datos

Tenga en cuenta que la Verificaci車n del equipo de la base de datos est芍 marcado y atenuado: este paso no se puede omitir para MySQL.

La lista de cifrado debe estar vac赤a, para que la interfaz y el servidor puedan negociar el cifrado requerido soportado por ambos extremos.

Alternativamente, esto se puede configurar en /etc/zabbix/web/zabbix.conf.php:

...
       // Se utiliza para conexiones TLS con una lista de cifrado estrictamente definida.
       $DB['ENCRYPTION'] = true;
       $DB['KEY_FILE'] = '/etc/ssl/mysql/client-key.pem';
       $DB['CERT_FILE'] = '/etc/ssl/mysql/client-cert.pem';
       $DB['CA_FILE'] = '/etc/ssl/mysql/ca.pem';
       $DB['VERIFY_HOST'] = true;
       $DB['CIPHER_LIST'] = 'TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256:TLS_AES_128_GCM_SHA256:TLS_AES_128_CCM_SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256:ECDHE-RSA-AES256-GC';
       ...
       // o
       ...
       // Usado para conexi車n TLS sin lista de cifrado definida - seleccionada por el servidor MySQL
       $DB['ENCRYPTION'] = true;
       $DB['KEY_FILE'] = '/etc/ssl/mysql/client-key.pem';
       $DB['CERT_FILE'] = '/etc/ssl/mysql/client-cert.pem';
       $DB['CA_FILE'] = '/etc/ssl/mysql/ca.pem';
       $DB['VERIFY_HOST'] = true;
       $DB['CIPHER_LIST'] = '';
       ...

Servidor

Para habilitar el cifrado con verificaci車n completa para conexiones entre el servidor 韓誥傭痔 y la base de datos, configure /etc/zabbix/zabbix_server.conf:

...
       DBHost=10.211.55.9
       DBName=zabbix
       DBUser=zbx_srv
       DBPassword=<contrase?a_fuerte>
       DBTLSConnect=verify_full
       DBTLSCAFile=/etc/ssl/mysql/ca.pem
       DBTLSCertFile=/etc/ssl/mysql/client-cert.pem
       DBTLSKeyFile=/etc/ssl/mysql/client-key.pem
       ...

韓誥傭痔

Documentation

1 唬棗紳款勳眶喝娶硃釵勳車紳 de cifrado en MySQL

Descripci車n general

Requisitos previos

Modo requerido

唬棗紳款勳眶喝娶硃釵勳車紳 de MySQL

Interfaz

Servidor

Modo de verificaci車n de CA

Interfaz

Servidor

Modo de verificaci車n completa

唬棗紳款勳眶喝娶硃釵勳車紳 de MySQL

Interfaz

Servidor