Tôi có một máy Linux đang kết nối với máy chủ MySQL từ xa bằng stunnel 5.56.Tôi đã tải xuống chứng chỉ của máy chủ từ xa và đặt nó vào /etc/ssl/cert/mysql-server.pem. Đây là cấu hình stunnel của máy Linux của tôi:
# /etc/stunnel/mysql.conf
gỡ lỗi = 6
[máy chủ mysql]
khách hàng = có
chấp nhận = 127.0.0.1:3326
kết nối = mysql-remote.example.com:3307
verifyPeer = có
CAfile = /etc/ssl/cert/mysql-server.pem
Khi tôi bắt đầu dịch vụ, đường hầm được thiết lập và đây là những gì tôi thấy trong nhật ký:
stunnel: LOG5[ui]: stunnel 5.56 trên nền tảng x86_64-pc-linux-gnu
stunnel: LOG5[ui]: Được biên dịch/chạy với OpenSSL 1.1.1k ngày 25 tháng 3 năm 2021
stunnel: LOG5[ui]: Phân luồng:PTHREAD Ổ cắm:POLL,IPv6,SYSTEMD TLS:ENGINE,FIPS,OCSP,PSK,SNI Auth:LIBWRAP
stunnel: LOG5[ui]: Đọc cấu hình từ tệp /etc/stunnel/mysql.conf
stunnel: LOG5[ui]: Không phát hiện dấu thứ tự byte UTF-8
stunnel: LOG5[ui]: Đã tắt chế độ FIPS
stunnel: LOG6[ui]: Đang khởi tạo dịch vụ [mysql-server]
stunnel: LOG5[ui]: Cấu hình thành công
stunnel: LOG6[ui]: Dịch vụ [máy chủ mysql] (FD=9) được liên kết với 127.0.0.1:3326
stunnel4[3372706]: Bắt đầu đường hầm TLS: /etc/stunnel/mysql.conf: started (không chỉ định pid=pidfile!)
stunnel: LOG6[cron]: Thực hiện các công việc định kỳ
stunnel: LOG6[cron]: Công việc định kỳ hoàn thành sau 0 giây
Như một thử nghiệm, tôi đã tải xuống chứng chỉ được sử dụng bởi https://www.google.com và lưu nó vào
/root/google.pem. Tôi đã thay đổi cấu hình stunnel ở trên bằng cách thay đổi tệp CA để trỏ đến chứng chỉ Google:
gỡ lỗi = 6
[máy chủ mysql]
khách hàng = có
chấp nhận = 127.0.0.1:3326
kết nối = mysql-remote.example.com:3307
verifyPeer = có
CAfile = /root/google.pem
Khi tôi khởi động lại stunnel, mọi thứ đều hoạt động! Đó là, stunnel làm không phải dường như quan tâm chứng chỉ nào trong CAfile. Đây không thể là cách xác minh chứng chỉ ngang hàng được cho là hoạt động. Tôi đang làm gì sai?
(Lưu ý: Tôi cũng đã thử thêm xác minh = N với N là 2, 3 và 4 với cùng một kết quả.)
Chi tiết kỹ thuật: chạy stunnel từ gói bullseye Debian hầm4 phiên bản 3:5.56+dfsg-10.
