多种不同的 MySQL 的 SSL 配置(4)

方案 3与方案 2相似。但公共的CA会指定多个的证书，同样也会吊销这些证书。
你应该了解 --ssl-verify-server-cert ，以确保服务器有一个带主机名的证书。否则，有人可能会用一个不带主机名的有效证书来发起中间人攻击（Man-in-the-MiddleAttack，简称“MITM攻击”）。
也应该使用 REQUIRE X509 字段，要求每个用户 SUBJECT 、ISSUER（可选）字段。

配置 4: Server/Client 和多个公共 CA's

这个方案用起来显得轻而易举。
可以使用证书包 （一个文件多个证书），并用 ssl ca 命令指定此文件。
在Ubuntu系统上，这个证书由 /etc/ssl/certs/ca-certificates.crt 下的 ca-certificates 包提供
其他选项，用“指定assl-capath”来代替“使用ssl-ca”，这样就可以设置到/etc/ssl/certs里。如果想用CA的默认目录，那就得运行OpenSSL 中的c_rehash 程序来生成正确的符号连接（只在OpenSSL下可用）。

配置 5: Replication（复制）

设置 CHANGE MASTER TO 命令中MASTER_SSL_* 就可实现。
如果开启了主机名验证，就确保用了 MASTER_SSL_VERIFY_SERVER_CERT。
只有这样才能真正确保 replication 用户的SSL连接是要求的SSL连接。如果SSL允许了，SHOW SLAVE STATUS就会显示输出,而不是不可用。
每台服务器一个CA还是集中式CA?

可以每服务器用一个CA然后指定一个客户端证书，但是每个服务器的客户端都需要不同的证书来连接，也就是说你会发放很多CA证书。
所以你可能就会想要使用一个CA，而不是每个服务器一个CA。

出错了怎么办？