mysql 两种连接方式和SSL连接、x509认证

mysql连接可分为socket连接和TCP|IP连接两种。

[root@localhost bin]# mysql -uroot -p123456 -S/tmp/mysql.sock

-S/tmp/mysql.sock可以省略，因为默认参数如下：

假如sock文件另有其它，那么就后面不能省略，需要指定下。

mysql -h127.0.0.1 -P3306 -uroot -p123456

那么问题来了，如何知道当前连接的连接方式？

查看当前连接方式，使用\s 或者status命令

Connection: Localhost via UNIX socket 表示使用 socket 进行本地的连接

SSL:Not in use 没有使用SSL

Connection: 127.0.0.1 via TCP/IP 使用TCP/IP 协议进行远程连接

SSL:Cipher in use is ECDHE-RSA-AES128-GCM-SHA256 使用了SSL加密

mysql5.7默认是使用SSL的方式来进行通讯的。

/s输出SSL: Not in use，说明当前没有使用SSL连接。

再看下error.log有一个waning：failed to set up SSL because of the following SSL liberary error：SSL context is not usable withut certificate and private key。公密钥文件不存在，所以无法启用SSL的连接方式。

1、进入bin目录执行命令： mysql_ssl_rsa_setup 在/data 根目录 生成相关的*.pem 密钥文件。

2、对新生成到pem文件授权chown mysql:mysql *.pem

3、 /etc/init.d/mysqld restart 重启mysql

4、进入命令客户端执行\s

使用IP/TCP远程连接时，\s输出 SSL: Cipher in use is ECDHE-RSA-AES128-GCM-SHA256。说明已经用上SSL加密。

使用socket进行本地连接，就不会使用SSL加密。\s输出SSL: Not in use；

因为SSL开启可能有性能影响。如果不希望使用ssl加密登录连接，那么可以使用下面命令进行禁用：mysql -h127.0.0.1 -uroot -p123456 --ssl-mode=DISABLED

强制一个用户使用ssl

之后david用户就必须使用ssl登录了，否则报错如下：

取消一个用户强制使用ssl

x509认证在开启SSL的基础下，还强制指定用户必须使用client-cert.pem和client-key.pem证书、密钥文件来登录，否则登录不了。x509是mysql最高等级的认证机制。

之前已经在data根目录生成了8个 *.pem文件

把其中client-cert.pem和client-key.pem导出

如下，再使用之前的命令登录。发现登录不了了。

此时想要登录必须在客户端指定SSL CERT File和SSL Key File 如下在navicat中

在mysql workbench中

mysql无法连接总结

1 先弄清楚mysql.user表的host和user列的含义，host列表示ip地址或者hostname，它和user列组成联合主键，host列的约束关系：比如172.%即代表只能172开头的网段才能登 陆该db；%表示任何网段都能登陆；同一user下如果既有172.%和%的host，那就取并集，即任何网段都能登陆

2 密码错误，一般报1045错误

一般是以下误 *** 作

2.0 首先明确一点，grant方式新建用户后其实不用flush privileges，而flush privileges刷新全新只对后续的连接有效，对本次连接无效

2.1 可能是update user表的方式修改了密码以后，忘记flush privileges，这时并没有生效，断开重连后沿用的还是旧密码

2.2 可能是update user表的方式修改了密码以后，忘记flush privileges，这时并没有生效，db重启以后必须用新密码才能登陆

2.3 就是简单的修改了密码，忘记了新密码，一般可以用skip-grant-tables的方式免密码登陆，修改回来，这个方法比较简单，但是需要重启db；

在云服务器中，一般都会保存一个管理账户密码，总是被客户随意修改导致备份，监控等失败，可以通过以下方法在线修改回来，无须重启db

2.3.1 copy 用户库的user表相关的文件到自己测试库

2.3.2 在测试库更改用户密码或添加用户

2.3.3 把user表相关的文件copy到用户库

2.3.4 kill -SIGHUP 用户的mysqld进程

3 是否设置了禁用dns解析，即设置了skip_name_resolve却还是用主机名称连接

4 是否设置了绑定ip访问，即设置了bind-address却还是用其他ip连接

5 确认是否是网络问题，一般直接ping ip的方式确定，这时先解决网络问题

6 确认是否能够telnet通对应ip的端口，如果不通的话，一般是以下原因

6.1 检查磁盘空间是否已经满了，即磁盘不足,这时应该无法telnet

6.2 检查mysqld进程是否存活，是否正好处于关闭中或者启动中，看错误日志即可，这时无法telnet

6.3 检查防火墙，是否开通了对应的db port

6.4 mysqld oom内存不足重启，这时会有短暂的时间连接不上，通过查看mysqld进程的启动时间或系统日志搜索oom关键字 /var/log/message

7 确认是否连接数打满了，一般报too many connections

8 确认是否是本地端口耗尽，这时一般报错 ERROR 2003 (HY000): Can't connect to MySQL server on '192.168.0.10' (99)，注意最后括号的数字是99，解决方法一般是增加 local_port的范围 ， /proc/sys/net/ipv4/ip_local_port_range 这里的值，两者相减 就是目前的范围

9 还有一种情况，比如敲的登陆命令为mysql -uxx -pxx -hxxx database1，这时相当于连接到mysql后还有一个use database1的 *** 作，如果卡住了一般就是卡在那不动，也不提示错误，这时需要注释掉database1登录进去查看是哪个线程卡住了它，或者本身这个db下表太多，本来就慢

这个问题分两部分：

1、需要系统本身开通数据库对应的端口，mysql应该是

3306（或者直接关闭防火墙）；

2、mysql开通连接权限：

1：首次安装的mysql应该是没有密码，使用：

mysql

-u

root

-p

回车，直接进入到mysql>页面；

2：开通需要对外连接的帐号权限：

1、update

mysql.user

set

password=PASSWORD('123456')

where

User='root'

（修改root密码为123456）

2、grant

all

privileges

on

*.*

to

root@'%'

identified

by

'123456'

（授权root对外开放连接，密码为123456）

3、flush

privileges

（使以上 *** 作生效）

4、quit

（退出）

然后在外部就可以尝试连接

---