合 PG配置SSL安全连接
- SSL简介
- 什么是SSL?
- 什么是openssl?
- TLS与SSL在传输层对网络连接进行加密
- SSL双向认证和SSL单向认证的区别?
- SSL证书使用
- PostgreSQL配置单向SSL认证连接
- PostgreSQL配置双向SSL认证连接
- 服务器端证书配置
- 1、生成服务器私钥server.key
- 2、生成服务器证书server.crt
- 3、根证书root.crt
- 服务器端数据库配置
- 1、postgresql.conf
- 2、pg_hba.conf
- 客户端配置SSL证书
- postgresql.key
- postgresql.crt
- 测试连接
- psql客户端使用ssl连接
- Navicat等图形界面使用ssl连接
- 数据库连接SSL选项sslmode
- PGCM中的SSL
- 参考
SSL简介
什么是SSL?
SSL的全名叫做secure socket layer(安全套接字层),最开始是由一家叫网景的互联网公司开发出来,主要是防止信息在互联网上传输的时候不被窃听或者篡改,后来网景公司提交SSL给ISOC组织做标准化,改名为TLS。
什么是openssl?
openssl 是目前最流行的 SSL 密码库工具,其提供了一个通用、健壮、功能完备的工具套件,用以支持SSL/TLS 协议的实现。
TLS与SSL在传输层对网络连接进行加密
构成部分:
- 密码算法库
- 密钥和证书封装管理功能
- SSL通信API接口
SSL双向认证和SSL单向认证的区别?
双向认证 SSL 协议要求服务器和用户双方都有证书。
单向认证 SSL 协议不需要客户拥有CA证书,服务器端不会验证客户证书,以及在协商对称密码方案,对称通话密钥时,服务器发送给客户的是没有加过密的(这并不影响 SSL 过程的安全性)密码方案。
一般Web应用都是采用SSL单向认证的,无需在通讯层对用户身份进行验证,一般都在应用逻辑层来保证用户的合法登入。但如果是企业应用对接,可能会要求对客户端(相对而言)做身份验证。这时就需要做SSL双向认证。
单向认证和双向认证的区别仅在于创建连接阶段,数据的传输均为加密的,因此客户端与PG服务端的连接采取SSL单向认证即可,即仅在PG Server端配置SSL证书。
查看postgresql是否使用openssl选项编译安装,没有则需重新编译:
1 2 | [pg12@lhrpgcm1 ~]$ pg_config|grep CONFIGURE CONFIGURE = '--prefix=/home/pg12/soft/' '--with-openssl' |
在启用了--with-openssl这个编译选项的情况下,ssl_library的参数值是OpenSSL。
1 2 3 4 5 6 7 8 9 10 11 | postgres=# show ssl_library ; ssl_library ------------- OpenSSL (1 row) postgres=# select version(); version --------------------------------------------------------------------------------------------------------- PostgreSQL 12.4 on x86_64-pc-linux-gnu, compiled by gcc (GCC) 4.8.5 20150623 (Red Hat 4.8.5-39), 64-bit (1 row) |
SSL证书使用
想要我们的pg数据库支持SSL连接,首先需要确保服务器有安装openssl:
1 | yum -y install openssl openssl-devel |
接着在编译安装时指定开启ssl
1 | ./configure --prefix=/home/pg12/soft --with-openssl |
默认情况下PostgreSQL 读取openssl的配置文件openssl.cnf, 在openssl version -d
返回的目录中。
1 2 | [pg12@lhrpgcm1 openssl]$ openssl version -d OPENSSLDIR: "/etc/pki/tls" |
目前不使用第三方权威机构的CA来认证,自己充当CA的角色。也即自签名证书。虽然可以使用自签名证书进行测试,但是应该在生产环境中使用由证书颁发机构(CA)(通常是企业范围的根CA)签名的证书。
PostgreSQL配置单向SSL认证连接
首先要为服务器创建一个有效期为365天的简单自签名证书,创建服务端证书和私钥文件:
1 2 3 | mkdir ~/openssl openssl req -new -x509 -days 365 -nodes -text -subj '/CN=postgres' -out ~/openssl/server.crt -keyout ~/openssl/server.key chmod 600 ~/openssl/server.key |