Không thể kết nối với mysql bằng chứng chỉ SSL tự ký

Sau khi tạo chứng chỉ SSL tự ký, tôi đã cấu hình máy chủ MySQL từ xa của mình để sử dụng chúng (và SSL được bật)

Tôi ssh vào máy chủ từ xa của mình và thử kết nối với mysqld của chính nó bằng SSL (máy chủ MySQL là 5.5.25) ..

mysql -u <user> -p --ssl=1 --ssl-cert=client.cert --ssl-key=client.key --ssl-ca=ca.cert
Enter password: 
ERROR 2026 (HY000): SSL connection error: error:00000001:lib(0):func(0):reason(1)

Ok, tôi nhớ đã đọc có một số vấn đề với việc kết nối với cùng một máy chủ thông qua SSL. Vì vậy, tôi tải các khóa máy khách xuống hộp cục bộ của mình và kiểm tra từ đó ...

mysql -h <server> -u <user> -p --ssl=1 --ssl-cert=client.cert --ssl-key=client.key --ssl-ca=ca.cert 
Enter password: 
ERROR 2026 (HY000): SSL connection error

Không rõ lỗi "lỗi kết nối SSL" này là gì, nhưng nếu tôi bỏ qua -ssl-ca, thì tôi có thể kết nối bằng SSL ..

mysql -h <server> -u <user> -p --ssl=1 --ssl-cert=client.cert --ssl-key=client.key 
Enter password: 
Welcome to the MySQL monitor.  Commands end with ; or \g.
Your MySQL connection id is 37
Server version: 5.5.25 MySQL Community Server (GPL)

Tuy nhiên, tôi tin rằng đây chỉ là mã hóa kết nối và không thực sự xác minh tính hợp lệ của chứng chỉ (có nghĩa là tôi sẽ dễ bị tấn công giữa chừng)

Các chứng chỉ SSL là hợp lệ (mặc dù tự ký) và không có cụm mật khẩu trên chúng. Vì vậy, câu hỏi của tôi là, tôi đang làm gì sai? Làm cách nào tôi có thể kết nối qua SSL, bằng chứng chỉ tự ký?

Phiên bản máy chủ MySQL là 5.5.25 và máy chủ và máy khách là CentOS 5.

Cảm ơn vì lời khuyên

Chỉnh sửa : Lưu ý rằng trong mọi trường hợp, lệnh được phát ra từ cùng thư mục chứa các khóa ssl (do đó không có đường dẫn tuyệt đối)

Chỉnh sửa (để phản hồi với mgorven): ca.certlà chứng chỉ của Cơ quan cấp chứng chỉ, được cho là để thông báo cho mysql rằng cơ quan cấp chứng chỉ của tôi được tin cậy.

Cấu hình từ my.cnflà

[mysqld]
ssl-ca=/etc/ssl/mysql/ca.cert
ssl-cert=/etc/ssl/mysql/server.cert
ssl-key=/etc/ssl/mysql/server.key

Tôi cũng đã thử thêm ssl-cipher=DHE-RSA-AES256-SHAnhưng đã loại bỏ nó vì nó không giúp ích gì.

Có, bạn đúng rằng nếu bạn không chỉ định --ssl-cathì máy khách hoàn toàn không kiểm tra chứng chỉ máy chủ. Vì nó hoạt động mà không có tùy chọn đó, lý do rất có thể cho sự thất bại là máy khách không tin tưởng vào chứng chỉ máy chủ.

Nếu bạn đang sử dụng chứng chỉ máy khách và máy chủ tự ký thì ca.certtệp sẽ bao gồm cả hai tệp này. Bằng cách đó, khách hàng sẽ tin tưởng vào chứng chỉ máy chủ và máy chủ sẽ tin tưởng vào chứng chỉ máy khách.

Ví dụ:
Tạo khóa máy chủ và chứng chỉ:

$ openssl req -x509 -newkey rsa:1024 \
         -keyout server-key-enc.pem -out server-cert.pem \
         -subj '/DC=com/DC=example/CN=server' -passout pass:qwerty

$ openssl rsa -in server-key-enc.pem -out server-key.pem \
         -passin pass:qwerty -passout pass:

Tạo khóa khách và chứng chỉ:

$ openssl req -x509 -newkey rsa:1024 \
         -keyout client-key-enc.pem -out client-cert.pem \
         -subj '/DC=com/DC=example/CN=client' -passout pass:qwerty

$ openssl rsa -in client-key-enc.pem -out client-key.pem \
         -passin pass:qwerty -passout pass:

Kết hợp các chứng chỉ máy khách và máy chủ vào tệp chứng chỉ CA:

$ cat server-cert.pem client-cert.pem > ca.pem

Để sử dụng ssl một chiều, bạn nên thử với:

mysql -u <user> -p --ssl=1 --ssl-ca=ca.cert --ssl-verify-server-cert

Các --ssl-certvà --ssl-keytrên máy khách mysql được sử dụng cho 2 chiều SSL. Điều này có nghĩa là chứng thực dựa trên chứng chỉ. Chủ đề của chứng chỉ ứng dụng khách phải là tên người dùng.

Trong mọi trường hợp, bạn đã không nhập cùng một Tên chung cho các máy chủ và máy khách? Nếu có, thay thế một trong số chúng để Tên chung khác nhau.