MySQL SSL 加密連線與效能開銷深度解析

MySQL SSL 加密連線與效能開銷深度解析

前言：資料庫安全的必要性

在生產環境中，資料庫安全始終是重中之重。MySQL 5.7 之前版本存在預設 root 密碼為空、所有用戶均可存取 test 資料庫等隱患。Oracle 官方在 5.7 版本大幅強化安全性：安裝時隨機生成 root 密碼、移除 test 資料庫、簡化 SSL 配置並預設啟用 SSL 加密連線。

什麼是 SSL/TLS？

SSL (Secure Sockets Layer) 及其繼任者 TLS (Transport Layer Security) 是為電腦網路提供通訊安全的加密協議。若傳輸不經加密，資料將以明文形式在網路傳輸，極易被竊聽。現今主流網站（Facebook、Twitter、YouTube、淘寶等）均預設啟用 HTTPS（HTTP over TLS）。

資料庫層面的 SSL 價值

應用層面對敏感欄位（密碼、金額）進行遮罩（顯示為 ***）固然重要，但若 DBA 在本機運行 tcpdump 等抓包工具，仍可從網路封包中還原明文資料。因此，必須在 MySQL 伺服器端啟用 SSL 加密通訊，確保傳輸層面的機密性與完整性。

MySQL 5.7 SSL 配置與使用

1. 自動化部署流程

MySQL 5.7 安裝文檔 INSTALL-BINARY 中新增步驟：

shell> bin/mysqld --initialize --user=mysql
shell> bin/mysql_ssl_rsa_setup

執行 mysql_ssl_rsa_setup 後，資料目錄將生成以下 PEM 檔案：

ca-key.pem        ca.pem            client-cert.pem   client-key.pem
private_key.pem   public_key.pem    server-cert.pem   server-key.pem

2. 驗證 SSL 功能

mysql> SHOW VARIABLES LIKE 'have_ssl';
+---------------+-------+
| Variable_name | Value |
+---------------+-------+
| have_ssl      | YES   |
+---------------+-------+

MySQL 5.7 客戶端預設嘗試 SSL 連線：

root@test-1:~# mysql -h10.166.224.32 -udavid
mysql> \s
--------------
SSL: Cipher in use is DHE-RSA-AES256-SHA

Cipher in use 顯示加密套件即表示連線已加密。

3. 強制用戶使用 SSL

ALTER USER david@'%' REQUIRE SSL;

此後該用戶若嘗試 --ssl=0 連線將報錯 Access denied。

4. MySQL 5.6 對比

5.6 同樣支援 SSL，但需手動使用 openssl 指令產生金鑰，配置較繁瑣。

SSL 效能測試與分析

測試環境：4 核 CPU 雲主機，全記憶體 SELECT 主鍵查詢（最壞情況）。

測試結果顯示：啟用 SSL 後效能開銷約 25%。主要開銷集中在「建立連線」階段（握手協商金鑰、驗證憑證）。

最佳實踐建議

• 使用長連線 / 連線池：減少頻繁建立連線的 SSL 握手開銷。
• MySQL 應用多為長連線：原生習慣已符合最佳實踐。
• 硬體加速：現代 CPU 支援 AES-NI 指令集，可大幅降低加密運算成本。
• 憑證管理：定期輪換憑證，採用強加密套件（如 TLS 1.2/1.3）。

總結

1. MySQL 5.7 配置 SSL 較 5.6 簡化許多。
2. MySQL 5.7 客戶端預設啟用 SSL 加密連線。
3. 典型負載下，SSL 加密帶來的效能損耗約 25%，透過長連線可有效攤銷握手成本。