运维公会

pxc使用ssl加密

小樱 2020年7月14日 09:20 2314

1、非加密链接

默认的pxc-encrypt-cluster-traffic字段的值是ON，也就是默认开启了ssl加密链接。

如果不需要加密链接就将pxc-encrypt-cluster-traffic=OFF。

这样启动后是以tcp链接

2、加密链接

（1）配置my.cnf

如果启用加密链接，需要在my.cnf中进行配置

[mysqld]

ssl-ca = /etc/mysql/cert/ca.pem

ssl-cert = /etc/mysql/cert/server-cert.pem

ssl-key = /etc/mysql/cert/server-key.pem

wsrep_provider_options="socket.ssl_key=server-key.pem;socket.ssl_cert=server-cert.pem;socket.ssl_ca=ca.pem"

[sst]

encrypt=4

ssl-key=server-key.pem

ssl-ca=ca.pem

ssl-cert=server-cert.pem

（2）生成ca证书

在一个节点中执行下边的命令

cd /etc/mysql/cert

openssl genrsa 2048 > ca-key.pem

openssl req -new -x509 -nodes -days 3600 -key ca-key.pem -out ca.pem

openssl req -newkey rsa:2048 -days 3600 -nodes -keyout server-key.pem -out server-req.pem

openssl rsa -in server-key.pem -out server-key.pem

openssl x509 -req -in server-req.pem -days 3600 -CA ca.pem -CAkey ca-key.pem -set_serial 01 -out server-cert.pem

将生成的文件复制到另外节点

然后启动，查看日志。