OceanBase数据传输加密概述

安全传输层协议（ TLS ）用于在两个通信应用程序之间提供保密性和数据完整性。OceanBase 数据库在原有的 TCP 通信上扩展支持 SSL 和 TLS 协议，解决通信加密的问题。

OceanBase 采用两种通信协议进行通信：

• MySQL 协议：外部业务客户端与 OceanBase 数据库间采用 MySQL 协议进行通信，开启通信加密后，加密即时生效，所有新的 MySQL 连接均采用加密方式进行通信。

• OB-RPC 协议：OceanBase 数据库集群内部节点间通信采用 OB-RPC 协议，由于内部节点之间的连接都是长连接，所以开启加密后，内部节点通信仍采用原先非加密方式通信，重启 OceanBase 集群后内部节点间通信加密才可生效。

OceanBase 数据库的数据链路均支持 SSL/TLS 加密通信。架构图如下所示：

OceanBase 数据库为每个用户提供不同的 SSL 认证机制的选择。包括：

• SSL 单向认证：客户端需要加载服务端的 CA 证书。客户端单向校验服务器端证书的有效性。

• X509 双向认证：服务器端和客户端都需要加载对端的 CA 证书，服务器端和客户端双向校验证书的有效性。

• 特殊的双向认证（可组合）：

  • 指定加密算法认证：基于 X509 双向认证，同时限定 SSL 加密算法。

  • 指定发行方认证：基于 X509 双向认证，同时限定客户端 CA 证书发行方。

  • 指定 SSL 主题认证：基于 X509 双向认证, 同时限定客户端 CA 证书主题。