MariaDB上"Require“和"Require X509”SSL选项的区别

Question

我正在学习在MariaDB上启用双向TLS设置。为此，它需要一个带有X509 SSL选项的用户帐户。我读过理论，但仍然不清楚其中的区别。另外，什么时候应该使用哪个选项。

请帮助解决此问题。

编辑

我做过一次测试，我发现在使用"Require SSL“选项时，只需要" ca”证书，而使用X509时，您需要客户端证书和ca证书。

我仍然没有得到这背后的主要登录。

Answer 1

对于使用REQUIRE SSL子句创建的帐户，如果无法建立加密连接，则连接尝试将失败。对于没有特殊加密要求的帐户，如果无法建立加密连接，则会回退到未加密连接。

对于使用REQUIRE X509子句创建的帐户，客户端必须至少指定--ssl-cert和--ssl-key。此外，建议使用--ssl-ca (或--ssl-capath)，以便验证服务器提供的公共证书。例如：

mysql --ssl-ca=ca.pem \
      --ssl-cert=client-cert.pem \
      --ssl-key=client-key.pem

对于使用REQUIRE ISSUER或REQUIRE SUBJECT子句创建的帐户，加密要求与REQUIRE X509相同，但证书必须分别与帐户定义中指定的证书或主题匹配。

有关REQUIRE子句的附加信息，请参阅：https://dev.mysql.com/doc/refman/8.0/en/create-user.html

Answer 2

如果用户帐户设置了"Require“，则用户只能通过安全传输(没有未加密端口，如果这些端口也可用)进行连接-但仍然可以使用username+password进行身份验证。

如果用户帐户设置了"Requre X590“，则用户只能通过安全传输进行连接-但身份验证需要客户端证书。