Eu quero que meu servidor web fale com o servidor de banco de dados MySQL através de uma conexão SSL. O servidor da Web executa o CentOS5, o servidor de banco de dados executa o FreeBSD. Os certificados são fornecidos por um CA DigiCert intermediário.
O MySQL deve estar usando ssl, de acordo com my.cnf:
# The MySQL server
[mysqld]
port = 3306
socket = /tmp/mysql.sock
ssl
ssl-capath = /opt/mysql/pki/CA
ssl-cert = /opt/mysql/pki/server-cert.pem
ssl-key = /opt/mysql/pki/server-key.pem
Quando inicio o MySQL, o daemon inicia sem erros. Isso sugere que os arquivos de certificado são todos legíveis.
Mas quando tento conectar-me do servidor da web ao servidor de banco de dados, recebo um erro:
[root@webserver ~]# mysql -h mysql.example.org -u user -p
ERROR 2026 (HY000): SSL connection error
E se eu tentar depurar ainda mais com o openssl:
[root@webserver ~]# openssl s_client -connect mysql.example.org:3306 0>/dev/null
CONNECTED(00000003)
15706:error:140770FC:SSL routines:SSL23_GET_SERVER_HELLO:unknown protocol:s23_clnt.c:588:
Esta é uma maneira válida de testar a conexão SSL com um servidor de banco de dados MySQL? A SSL23_GET_SERVER_HELLO:unknown protocolmensagem é estranha, pois normalmente é o que você veria se estivesse falando SSL em uma porta destinada ao tráfego não SSL.
Este mesmo comando openssl parece funcionar bem com servidores LDAP e HTTP:
$ openssl s_client -connect ldap.example.org:636 0>/dev/null
CONNECTED(00000003)
depth=2 /C=US/O=The Go Daddy Group, Inc./OU=Go Daddy Class 2 Certification Authority
...
$ openssl s_client -connect www.example.org:443 0>/dev/null
CONNECTED(00000003)
depth=0 /DC=org/DC=example/OU=Services/CN=www.example.org