数据库加密连接：互联网环境下如何安全地连接数据库

一、为什么数据库连接需要加密？

在现代互联网应用中，数据库通常部署在独立的服务器上，应用程序通过网络连接数据库，完成数据查询、插入、更新和删除等操作。

在传统架构中，应用程序和数据库可能部署在同一台服务器，或者位于同一个受信任的内网环境中，数据库通信通常没有特别关注加密问题。

但是，随着云计算、微服务和分布式架构的发展，越来越多的应用需要通过互联网连接远程数据库。例如：

• 云服务器上的应用程序访问另一台服务器上的数据库。
• 公司内部系统通过公网访问云数据库。
• 开发人员从本地电脑远程连接生产数据库。
• 不同地区的业务系统通过互联网共享数据库服务。
• 第三方系统通过 API 或数据库客户端访问数据库。

如果数据库连接没有使用加密传输，那么客户端与数据库服务器之间传输的数据可能以明文形式存在。

攻击者如果能够监听网络流量，就可能获取以下信息：

1. 数据库用户名和密码。
2. SQL 查询语句。
3. 用户个人信息。
4. 业务订单和交易数据。
5. 数据库返回的查询结果。

例如，客户端执行：

SELECT username, password
FROM users
WHERE id = 1001;

如果数据库连接没有加密，网络监听者就有可能获取 SQL 语句以及查询结果。

因此，当数据库需要通过互联网进行连接时，应该使用 TLS（Transport Layer Security）加密通信，确保客户端与数据库服务器之间的数据传输安全。

二、数据库加密连接的工作原理

数据库加密连接通常使用 TLS 协议实现。

TLS 是一种广泛应用于互联网通信的安全协议，HTTPS 就是通过 TLS 实现 HTTP 通信加密。

数据库使用 TLS 的基本原理与 HTTPS 类似。

客户端连接数据库时，大致经过以下几个步骤：

1. 客户端向数据库服务器发起连接请求。
2. 客户端和服务器协商 TLS 版本及加密算法。
3. 数据库服务器向客户端提供 TLS 证书。
4. 客户端验证服务器证书的有效性和身份。
5. 双方协商生成会话密钥。
6. 后续数据库通信通过加密通道传输。

可以用下面的结构表示：

       客户端应用程序
              |
              |
       数据库连接请求
              |
              v
      +----------------+
      |   TLS 握手     |
      |                |
      | 证书验证       |
      | 密钥协商       |
      +----------------+
              |
              |
       加密通信通道
              |
              v
      +----------------+
      | 数据库服务器   |
      |                |
      | SQL 查询       |
      | 数据返回       |
      +----------------+

使用 TLS 加密连接后，即使攻击者能够监听网络流量，也无法直接读取数据库通信中的明文内容。

需要注意的是，加密传输主要解决数据在网络传输过程中的机密性和完整性问题，并不能代替数据库访问控制、身份认证和权限管理。

三、MySQL 配置 TLS 加密连接

MySQL 支持通过 SSL/TLS 实现客户端与数据库服务器之间的加密通信。

下面以 Linux 服务器上的 MySQL 为例介绍配置方法。

1. 检查 MySQL 是否支持 TLS

首先连接 MySQL：

mysql -u root -p

执行：

SHOW VARIABLES LIKE 'have_ssl';
SHOW VARIABLES LIKE 'ssl_%';

检查 TLS 相关配置。

也可以执行：

SHOW STATUS LIKE 'Ssl_cipher';

如果当前连接使用了 TLS，通常可以看到对应的加密算法信息。

2. 准备 TLS 证书

MySQL 加密连接需要使用证书和私钥。

通常需要准备：

• CA 证书（ca.pem）
• 数据库服务器证书（server-cert.pem）
• 数据库服务器私钥（server-key.pem）

生产环境建议使用可信 CA 签发的证书。

也可以使用内部 CA 为数据库服务器签发证书。

证书中的域名或 Subject Alternative Name（SAN）应该与客户端连接时使用的数据库域名一致。

3. 配置 MySQL 服务器

编辑 MySQL 配置文件。

常见配置路径：

/etc/mysql/mysql.conf.d/mysqld.cnf

在 [mysqld] 配置段中添加：

[mysqld]

# 开启 TLS
ssl_ca=/etc/mysql/ssl/ca.pem
ssl_cert=/etc/mysql/ssl/server-cert.pem
ssl_key=/etc/mysql/ssl/server-key.pem

# 强制客户端使用加密连接
require_secure_transport=ON

注意：

• 证书文件需要由 MySQL 服务进程读取。
• 私钥文件应该限制访问权限。
• 不要将服务器私钥发送给客户端。
• 生产环境应使用可信 CA 签发的证书。

修改配置后重启 MySQL：

sudo systemctl restart mysql

4. 创建要求加密连接的数据库用户

MySQL 可以针对用户强制要求 SSL/TLS 连接。

例如：

CREATE USER 'appuser'@'%'
IDENTIFIED BY 'StrongPassword';

ALTER USER 'appuser'@'%'
REQUIRE SSL;

如果用户已经存在，也可以直接执行：

ALTER USER 'appuser'@'%'
REQUIRE SSL;

这样，该用户就不能通过普通的非加密连接登录数据库。

如果希望进一步验证客户端身份，可以配置双向 TLS：

ALTER USER 'appuser'@'%'
REQUIRE X509;

此时客户端必须提供有效的客户端证书。

5. 客户端使用 TLS 连接 MySQL

客户端需要准备 CA 证书，然后使用以下命令连接：

mysql \
  -h db.example.com \
  -P 3306 \
  -u appuser \
  -p \
  --ssl-mode=VERIFY_IDENTITY \
  --ssl-ca=ca.pem

这里有几个重要参数：

推荐在互联网环境中使用：

--ssl-mode=VERIFY_IDENTITY

因为它不仅要求加密，还会验证连接的服务器是否确实是预期的数据库服务器。

注意：MySQL 5.7、MySQL 8.0 以及不同客户端版本的 TLS 参数可能存在差异，应以实际版本支持情况为准。

6. 验证数据库连接是否加密

连接成功后执行：

SHOW STATUS LIKE 'Ssl_cipher';

如果返回类似：

Ssl_cipher    TLS_AES_256_GCM_SHA384

说明当前连接使用了 TLS 加密。

如果返回空值，则需要检查当前连接是否启用了 TLS。

四、PostgreSQL 配置 TLS 加密连接

PostgreSQL 同样支持 TLS 加密连接。

1. 配置服务器证书

首先准备：

server.crt
server.key

将证书和私钥放到 PostgreSQL 可以访问的目录中。

然后修改 postgresql.conf：

ssl = on

ssl_cert_file = 'server.crt'
ssl_key_file = 'server.key'

注意私钥文件需要设置合适的权限，通常要求只有 PostgreSQL 服务用户能够读取。

2. 配置客户端连接规则

修改 pg_hba.conf，例如：

hostssl all all 0.0.0.0/0 scram-sha-256

这里的 hostssl 表示只允许使用 SSL/TLS 的 TCP/IP 连接。

对于生产环境，不建议直接允许所有 IP 访问。应该将来源地址限制为可信客户端网段。

3. 客户端连接 PostgreSQL

使用 psql：

psql "host=db.example.com \
port=5432 \
dbname=mydb \
user=appuser \
sslmode=verify-full \
sslrootcert=ca.crt"

PostgreSQL 常见 SSL 模式：

• disable：不使用 TLS。
• allow：优先尝试非加密连接。
• prefer：优先使用 TLS，但允许回退。
• require：要求使用 TLS。
• verify-ca：验证服务器证书。
• verify-full：验证证书及服务器主机名。

互联网环境建议使用 verify-full。

4. 验证连接

连接数据库后执行：

SELECT
    ssl,
    version,
    cipher
FROM pg_stat_ssl
WHERE pid = pg_backend_pid();

如果 ssl 为 true，说明当前连接已经使用 TLS。

五、Redis 配置 TLS 加密连接

Redis 也支持 TLS，可以保护客户端与 Redis 服务器之间的数据传输。

Redis 6.0 及以上版本支持原生 TLS。

1. 配置 Redis TLS

修改 redis.conf：

# 禁用普通 TCP 端口
port 0

# 开启 TLS 端口
tls-port 6379

# CA 证书
tls-ca-cert-file /etc/redis/ssl/ca.crt

# 服务器证书
tls-cert-file /etc/redis/ssl/server.crt

# 服务器私钥
tls-key-file /etc/redis/ssl/server.key

如果需要客户端证书认证，可以配置：

tls-auth-clients yes

如果不要求客户端提供证书，但仍要求客户端验证服务器证书，可以考虑：

tls-auth-clients no

注意：关闭客户端证书认证不代表取消 Redis 密码或 ACL 身份认证。

2. 客户端连接 Redis

使用 redis-cli：

redis-cli \
  --tls \
  --cacert ca.crt \
  -h redis.example.com \
  -p 6379

如果需要双向 TLS，还需要提供客户端证书和私钥：

redis-cli \
  --tls \
  --cacert ca.crt \
  --cert client.crt \
  --key client.key \
  -h redis.example.com \
  -p 6379

实际使用时，还应该结合 Redis ACL 设置合理的用户权限和密码。

六、互联网环境下数据库加密连接的安全建议

数据库部署在互联网环境中，仅仅开启 TLS 还不够，还需要做好其他安全措施。

1. 不要直接将数据库端口暴露给所有公网 IP

例如：

• MySQL：3306
• PostgreSQL：5432
• Redis：6379

应该通过防火墙、安全组限制数据库端口的访问来源。

只允许必要的应用服务器或固定客户端 IP 连接数据库。

2. 始终验证服务器证书

不要仅仅使用：

--ssl-mode=REQUIRED

因为这种模式只保证使用 TLS，不验证服务器身份。

更推荐：

--ssl-mode=VERIFY_IDENTITY

这样可以降低连接到伪造数据库服务器的风险。

3. 使用强密码和最小权限原则

不要让应用程序使用数据库 root 账户。

应该为不同应用创建独立的数据库用户，并且只授予必要的权限。

例如：

CREATE USER 'appuser'@'10.%'
IDENTIFIED BY 'StrongPassword';

GRANT SELECT, INSERT, UPDATE, DELETE
ON appdb.*
TO 'appuser'@'10.%';

4. 定期更新证书

TLS 证书通常具有有效期。

需要建立证书更新机制，避免证书过期导致应用程序无法连接数据库。

5. 优先使用现代 TLS 版本

建议使用 TLS 1.2 或 TLS 1.3，并根据数据库版本和客户端兼容性禁用过时、不安全的协议及加密套件。

6. 考虑使用 VPN 或专用网络

对于重要业务系统，可以进一步通过 VPN、云厂商私有网络或专线连接数据库。

TLS 与 VPN 并不冲突：

• TLS 负责保护数据库连接本身。
• VPN 负责保护网络传输路径。
• 防火墙负责控制哪些客户端可以访问数据库。

多层防护可以降低互联网环境下数据库遭受攻击的风险。

七、总结

随着云计算和分布式应用的发展，数据库已经不再局限于本地服务器或内部局域网。

越来越多的应用需要通过互联网访问远程数据库。在这种情况下，如果数据库通信没有加密，数据库账号密码、SQL 语句以及业务数据就可能暴露在网络监听和中间人攻击的风险之中。

通过 TLS 加密连接，可以有效保护客户端与数据库服务器之间的数据传输。

对于 MySQL、PostgreSQL 和 Redis 等常见数据库，都应该启用 TLS，并在客户端验证服务器证书。

在实际生产环境中，推荐遵循以下原则：

1. 互联网连接数据库必须使用 TLS 加密。
2. 客户端必须验证服务器证书和主机名。
3. 数据库用户应该强制要求加密连接。
4. 使用防火墙限制数据库端口的访问来源。
5. 使用独立数据库账户和最小权限原则。
6. 定期更新证书、密码和数据库软件版本。
7. 对重要业务使用 VPN 或专用网络进行额外保护。

数据库安全不仅仅是防止数据库服务器被入侵，也包括保护数据库通信过程中的每一份数据。

因此，无论是企业应用、云数据库，还是个人项目，只要数据库需要通过互联网进行连接，都应该将 TLS 加密作为基础安全配置。