Назад | Перейти на главную страницу

отключить ssl для клиентских приложений mysql

Я настроил SSL для репликации mysql. Проблема в том, что это создает проблемы для других локальных приложений, использующих mysql.

Как постфикс:

Jul 25 23:00:22 srv1 postfix/proxymap[3141]: warning: connect to mysql server 127.0.0.1: SSL connection error: unable to verify peer checksum
Jul 25 23:00:22 srv1 postfix/trivial-rewrite[3353]: warning: virtual_mailbox_domains: proxy:mysql:/etc/postfix/mysql-virtual_domains.cf: table lookup problem
Jul 25 23:00:22 srv1 postfix/trivial-rewrite[3353]: warning: virtual_mailbox_domains lookup failure

или amavis:

Jul 25 23:08:12 srv1 amavis[5625]: (05625-01) (!)connect_to_sql: unable to connect to DSN 'DBI:mysql:database=dbispconfig;host=127.0.0.1;port=3306': SSL connection error: unable to verify peer checksum

а также pureftp

Jul 25 23:02:42 srv1 pure-ftpd: (?@2a02:810c:XXXXXXXX) [ERROR] The SQL server seems to be down [SSL connection error: unable to verify peer checksum]

Поскольку мне не нужно локальное шифрование, я хочу его отключить, но не знаю как. Я установил запись cnf только для клиентов с:

[client]
#ssl-ca=/etc/letsencrypt/live/mydomain/chain.pem
#ssl-mode=DISABLED
ssl=0

Но без удачи. Для постфикса я нашел в документы это примечание:

Postfix 3.1 и ранее не считывают настройки группы опций [client], если не указано непустое значение option_file или option_group. Чтобы включить это, укажите, например, «option_group = client».

Поэтому я добавил ко всем файлам /etc/postfix/mysql-*.cf синтаксис option_group. Но после перезагрузки та же проблема ..

Когда я отключаю ssl на сервере, проблем больше нет. Но я хочу иметь ssl для безопасности репликации.

Любые идеи?

Вот несколько идей.

  1. Использовать postconf чтобы увидеть, нет ли ошибок или несовместимости в файлах конфигурации Postfix. Эта утилита жалуется на неиспользованные параметры.
  2. Не принудительно использовать SSL на стороне сервера. Вместо этого настройте клиент репликации на отказ от небезопасных подключений.
  3. Используйте функцию сервера MySQL 5.7, которая позволяет изменять требования SSL / TLS для каждого пользователя через CREATE USER ... REQUIRE ... и ALTER USER ... REQUIRE ... и удалите обязательный SSL для локальных клиентов.
  4. Поскольку постфикс использует libmysqlclient, должна быть возможность переопределить место, где постфикс ищет my.cnf, и использовать [mysql] раздел вместо этого. Это должно быть возможно сделать через MYSQL_HOME переменная окружения, но я сомневаюсь, что это хорошая идея даже попробовать :)