Das Problem

Question

Zusammenfassung

Um eine MySQL TLS-Verbindung von Postfix aus herzustellen, benötigen Sie:

Postfix Version 2.11 oder neuerCentOS 7 bietet nurPostfix Version 2.10. Sie müssen ein Upgrade für Postfix von einem anderen Medium als CentOS erwerben. Ich habe mich für die Verwendung der postfix3Pakete postfix3-mysqlvon entschiedenGhettoForge Plusweil es scheintsehr empfehlenswert von der CentOS-Community.
Satzin Ihren mysql_tableKonfigurationsdateienentweder:
1. Mindestens eine zulässige tls_ciphersEinstellung;
2. Ein clientseitiges TLS-Zertifikat und der dazugehörige private Schlüssel,von einer Zertifizierungsstelle signiert, die sowohl für den MySQL-Server als auch für Ihren Postfix-Client gilt; oder
3. beide.
Verlassen Sie sich nicht darauf, diese in Ihren Dateien /etc/my.cnf oder /etc/my.cnf.d/* festzulegen! Der Postfix MySQL-Code liest diese Dateien nicht, um zu bestimmen, ob eine MySQL TLS-Verbindung hergestellt werden soll; sie werden viel zu spät analysiert. Dernurmysql_tableDer beste Weg, Postfix zum Öffnen einer MySQL TLS-Verbindung zu veranlassen, besteht darin, die TLS-Einstellungen in Ihren Konfigurationsdateien anzugeben . Punkt.

Wie ich hierher gekommen bin

Schließlich habe ich mir den Quellcode von Postfix 3.2 durchgelesen. Die Zeilen 653-658 von src/global/dict_mysql.c waren besonders aufschlussreich.

Endgültige Lösung

Wenn Sie das Verhalten von emulieren möchten , müssen Sie Ihren Konfigurationsdateien ssl = truelediglich eine Zeile ähnlich der folgenden hinzufügen :mysql_table

tls_ciphers = TLSv1.2

Unsere Konfiguration erfordert die ausschließliche Verwendung von TLS 1.2. Dies wurde in der Konfiguration unserer MySQL-Server bereits seit langem erzwungen, sodass ich nicht automatisch auf die Idee kam, dies auch auf den Clients durchzusetzen. Sie können jedoch gerne andere Chiffren hinzufügen, wenn Ihre Organisation ältere Chiffren toleriert.

Beachten Sie, dass wir vollkommen zufrieden damit sind, keine clientseitigen Zertifikate zu verwenden. Wir verwenden andere Mittel, um unsere Datenbankverbindungen zu schützen und aktiv zu überwachen. Wir möchten einfach keine zusätzliche Komplexität.

Alternative Lösung

Wenn Sie lieber erzwingen möchten, dass sich nur bekannte und vertrauenswürdige Clients mit Ihren MySQL-Servern verbinden – und dies nicht durch andere Mechanismen zur Durchsetzung von Richtlinien wie strenge Firewalls, strikte Kennwortkomplexität, Kennwortrotationsperioden, Verbindungsüberwachung usw. erreicht werden kann –, können Sie mithilfe dieser zusätzlichen Einstellungen in Ihren mysql_tableKonfigurationsdateien auch clientseitige Zertifikate verwenden:

tls_key_file = /path/to/private.key
tls_cert_file = /path/to/public.certificate
tls_CAfile = /path/to/common.CA.certificate # OR tls_CApath = /path/to/CA-and-intermediate-chain-certificates/

Auch hier gilt, dass diese in /etc/my.cnf oder /etc/my.cnf.d/* festgelegt werden müssen.wird nicht helfen. Diese Dateien werden erst analysiert,nachder Verbindungstyp (TLS oder nicht-TLS) hatbereits entschieden.

Wenn Sie sich für die Verwendung clientseitiger Zertifikate entscheiden,erzwingen Sie sie auf dem Server! DunichtSie benötigen clientseitige Zertifikate, wenn Sie nur MySQL-Datenverkehr verschlüsseln möchten. Verwenden Sie stattdessen einfach die tls_ciphersoben genannte Alternative. Durch das Hinzufügen clientseitiger Zertifikate kann MySQL überprüfen, ob ein verbindender Client bereits bekannt und vertrauenswürdig ist, abernur wenn Sie MySQL sagen, wie das geht! Es wird nicht raten und sich nur auf die Anwesenheit einer gemeinsamen CA zwischen Client und Server zu verlassen, ist nur eine Teilimplementierung dieses leistungsstarken Tools. Wenn Sie an diesem MySQL-Sicherheitsmodell interessiert sind, habe ich mindestens eins gefundenAnleitung mit guten Beispielen zur Verwendung der Client-Zertifikatsvalidierung.

Answer 1

Zusammenfassung

Um eine MySQL TLS-Verbindung von Postfix aus herzustellen, benötigen Sie:

Postfix Version 2.11 oder neuerCentOS 7 bietet nurPostfix Version 2.10. Sie müssen ein Upgrade für Postfix von einem anderen Medium als CentOS erwerben. Ich habe mich für die Verwendung der postfix3Pakete postfix3-mysqlvon entschiedenGhettoForge Plusweil es scheintsehr empfehlenswert von der CentOS-Community.
Satzin Ihren mysql_tableKonfigurationsdateienentweder:
1. Mindestens eine zulässige tls_ciphersEinstellung;
2. Ein clientseitiges TLS-Zertifikat und der dazugehörige private Schlüssel,von einer Zertifizierungsstelle signiert, die sowohl für den MySQL-Server als auch für Ihren Postfix-Client gilt; oder
3. beide.
Verlassen Sie sich nicht darauf, diese in Ihren Dateien /etc/my.cnf oder /etc/my.cnf.d/* festzulegen! Der Postfix MySQL-Code liest diese Dateien nicht, um zu bestimmen, ob eine MySQL TLS-Verbindung hergestellt werden soll; sie werden viel zu spät analysiert. Dernurmysql_tableDer beste Weg, Postfix zum Öffnen einer MySQL TLS-Verbindung zu veranlassen, besteht darin, die TLS-Einstellungen in Ihren Konfigurationsdateien anzugeben . Punkt.

Wie ich hierher gekommen bin

Schließlich habe ich mir den Quellcode von Postfix 3.2 durchgelesen. Die Zeilen 653-658 von src/global/dict_mysql.c waren besonders aufschlussreich.

Endgültige Lösung

Wenn Sie das Verhalten von emulieren möchten , müssen Sie Ihren Konfigurationsdateien ssl = truelediglich eine Zeile ähnlich der folgenden hinzufügen :mysql_table

tls_ciphers = TLSv1.2

Unsere Konfiguration erfordert die ausschließliche Verwendung von TLS 1.2. Dies wurde in der Konfiguration unserer MySQL-Server bereits seit langem erzwungen, sodass ich nicht automatisch auf die Idee kam, dies auch auf den Clients durchzusetzen. Sie können jedoch gerne andere Chiffren hinzufügen, wenn Ihre Organisation ältere Chiffren toleriert.

Beachten Sie, dass wir vollkommen zufrieden damit sind, keine clientseitigen Zertifikate zu verwenden. Wir verwenden andere Mittel, um unsere Datenbankverbindungen zu schützen und aktiv zu überwachen. Wir möchten einfach keine zusätzliche Komplexität.

Alternative Lösung

Wenn Sie lieber erzwingen möchten, dass sich nur bekannte und vertrauenswürdige Clients mit Ihren MySQL-Servern verbinden – und dies nicht durch andere Mechanismen zur Durchsetzung von Richtlinien wie strenge Firewalls, strikte Kennwortkomplexität, Kennwortrotationsperioden, Verbindungsüberwachung usw. erreicht werden kann –, können Sie mithilfe dieser zusätzlichen Einstellungen in Ihren mysql_tableKonfigurationsdateien auch clientseitige Zertifikate verwenden:

tls_key_file = /path/to/private.key
tls_cert_file = /path/to/public.certificate
tls_CAfile = /path/to/common.CA.certificate # OR tls_CApath = /path/to/CA-and-intermediate-chain-certificates/

Auch hier gilt, dass diese in /etc/my.cnf oder /etc/my.cnf.d/* festgelegt werden müssen.wird nicht helfen. Diese Dateien werden erst analysiert,nachder Verbindungstyp (TLS oder nicht-TLS) hatbereits entschieden.

Wenn Sie sich für die Verwendung clientseitiger Zertifikate entscheiden,erzwingen Sie sie auf dem Server! DunichtSie benötigen clientseitige Zertifikate, wenn Sie nur MySQL-Datenverkehr verschlüsseln möchten. Verwenden Sie stattdessen einfach die tls_ciphersoben genannte Alternative. Durch das Hinzufügen clientseitiger Zertifikate kann MySQL überprüfen, ob ein verbindender Client bereits bekannt und vertrauenswürdig ist, abernur wenn Sie MySQL sagen, wie das geht! Es wird nicht raten und sich nur auf die Anwesenheit einer gemeinsamen CA zwischen Client und Server zu verlassen, ist nur eine Teilimplementierung dieses leistungsstarken Tools. Wenn Sie an diesem MySQL-Sicherheitsmodell interessiert sind, habe ich mindestens eins gefundenAnleitung mit guten Beispielen zur Verwendung der Client-Zertifikatsvalidierung.

Das Problem

Das Problem

Wie ich hierher gekommen bin

Was ich versucht habe

Relevante Konfiguration auf dem Postfix-Server:

Erfolgreich -- MANUELL -- MySQL TLS-Verbindungsausgabe vom Postfix-Server als Postfix-Benutzer

Relevante Konfiguration auf dem MySQL-Server:

Protokolle

Abschluss

Aktualisieren:

Antwort1

Zusammenfassung

Wie ich hierher gekommen bin

Endgültige Lösung

Alternative Lösung

verwandte Informationen