SQLServer 自签证书配置SSL连接

一、安装SQLServer数据库

此处忽略SQLServer的安装，这里需要注意两点

1. 开启SQLServer的远程TCP/IP连接功能
打开随SQLServer一并安装的Sql Server Configuration Manager配置软件

2. 防火墙，如果是云上，可能还需要配置相关VPC以及安全组等网络配置，保证客户端所在机器可以连通SQLServer所在服务器
可以在客户端所在机器，利用命令 curl -kv {ip}:{port} 检验是否连通

二、自签证书生成

SQLServer的证书校验机制使用到了证书的扩展字段SAN（Subject Alternative Name）来确定连接主体的是否可信，所以生成的证书可以包含SAN字段，用以包含所以可能的SQLServer用到的IP以及域名（比如NAT场景下）

1. 准备openssl配置文件req.conf

[req]
distinguished_name = req_distinguished_name
req_extensions = v3_req
prompt = no
[req_distinguished_name]
C = {国家}
ST = {省}
L = {市}
O = {组织}
OU = {组织单元}
CN = {证书主体唯一标识}
[v3_req]
keyUsage = keyEncipherment, dataEncipherment
extendedKeyUsage = serverAuth
subjectAltName = @alt_names
[alt_names]
DNS.1 = {可能使用的SAN-1:IP/域名}
DNS.2 = {可能使用的SAN-2:IP/域名}
DNS.3 = {可能使用的SAN-3:IP/域名}

2. 生成Certificate Signing Request（CSR，证书签名请求）以及私钥

openssl req -new -out company_san.csr -newkey rsa:2048 -nodes -sha256 -keyout company_san.key.temp -config req.conf

可以通过命令验证生成的证书请求是否符合预期

openssl req -text -noout -verify -in company_san.csr

 3. 将PKCS#8格式的私钥文件company_san.key.temp转换成RSA格式

openssl rsa -in company_san.key.temp -out company_san.key

 4. 生成带有SAN扩展字段的证书文件

openssl x509 -req -days 999999 -in company_san.csr -signkey company_san.key -out company_san.crt -extensions v3_req -extfile req.conf

 5. 将私钥和证书一起打包成PKCS#12格式，用pfx或者p12作为后缀即可

openssl pkcs12 -export -out company_san.p12 -inkey company_san.key -in company_san.crt  -password pass:123456

 6. 利用 keytool 将pfx格式证书转换成jks格式，方便jdbc连接

keytool -importkeystore -srckeystore company_san.p12 -srcstoretype PKCS12 -srcstorepass 123456 -destkeystore company_san.jks -deststoretype JKS -deststorepass 123456 -destkeypass 123456

三、将证书导入SQLServer所在服务器

 win + r -> 运行 -> 打开 certlm.msc

在个人证书下 -> 所有任务 -> 导入

 按照提示，

 

 

四、SQLServer的证书配置

 打开随SQLServer一并安装的Sql Server Configuration Manager配置软件，选择属性

 

 选择Certificate选项页

 这时候可以选择下拉列表，如果生成的证书的CN信息中包含计算机名的话，可以在这里找到。

或者利用Import功能进行导入

五、测试连接SSL连接是否配置成功

1.在需要连接的windows主机上面，将之前生成的company_san.p12证书导入可信根证书目录中

2.打开SQL Server Management Studio Management(SSMS), 在"连接到服务器"中，填写正确的信息，

注：这里的ip地址，192.168.9.120 已经在上面生成的证书SAN信息中了

 3. 点击选项，在“连接属性”中勾选“加密连接”，这里不勾选“信任服务器证书”，保证使用的上面配置的证书，要不然会使用SQLServer服务启动内部自生成的证书，点击连接

 4.确认连接成功后，执行SQL，确定当前连接时加密的

SELECT encrypt_option
FROM sys.dm_exec_connections where session_id = @@SPID;

六、参考链接

How to Create a CSR and Key File for a SAN Certificate with Multiple Subject Alternate Names

Configure SQL Server Database Engine for encrypting connections

通义千问生成证书相关操作命令