与RDS MySQL / Aurora无服务器群集的SSL连接因Node.js而失败

Question

我一直在使用Node.js LTS和RDS MySQL数据库。我最近开发了一个RDS无服务器Aurora MySQL 5.6集群。与我的其他RDS数据库不同，我无法使用Node mysql或mysql2适配器将Node.js连接到使用SSL的新无服务器集群。

从具有单个Node.js应用程序的单个Ubuntu实例：

我可以使用SSL将Node应用程序成功连接到任何旧的RDS数据库（MySQL 5.6.40）：

// works with other RDS databases:
const fs = require('fs');
const mysql = require('mysql2');
const config = require('../config');

var connectionArgs = {
  host: config.old_rds_host,
  database: config.old_rds_database,
  user: config.old_rds_user,
  password: config.old_rds_password,
  port: config.rds.port,
  ssl: {
    ca: fs.readFileSync(__dirname + '/../rds-combined-ca-bundle.pem')
  }
}

var connection = mysql.createConnection(connectionArgs);

在同一台机器上，我可以使用MySQL客户端将SSL连接到新的RDS集群，而不会出现问题：

// Works with new RDS serverless cluster:
mysql -u rds_serverless_user -p -h new-rds-serverless-cluster.us-west-2.rds.amazonaws.com -P 3306 --ssl --ssl-ca=./rds-combined-ca-bundle.pem

我可以成功地将Node应用程序连接到没有SSL的新无服务器群集：

// Works with new RDS serverless cluster:
const fs = require('fs');
const mysql = require('mysql2');
const config = require('../config');

var connectionArgs = {
  host: config.rds_host,
  database: config.rds_serverless_database,
  user: config.rds_serverless_user,
  password: config.rds_serverless_password,
  port: config.rds.port
}

var connection = mysql.createConnection(connectionArgs);

但是当我尝试使用SSL证书连接到新的无服务器群集时，我收到服务器不支持安全连接的错误：

// Fails with new RDS serverless cluster:
const fs = require('fs');
const mysql = require('mysql2');
const config = require('../config');

var connectionArgs = {
  host: config.rds_host,
  database: config.rds_serverless_database,
  user: config.rds_serverless_user,
  password: config.rds_serverless_password,
  port: config.rds.port,
  ssl: {
    ca: fs.readFileSync(__dirname + '/../rds-combined-ca-bundle.pem')
  }
}


var connection = mysql.createConnection(connectionArgs);

Debug: internal, implementation, error 
Error: Server does not support secure connnection
at ClientHandshake.handshakeInit (/home/deploy_user/my-node-rds-app/node_modules/mysql2/lib/commands/client_handshake.js:120:17)
at ClientHandshake.Command.execute (/home/deploy_user/my-node-rds-app/node_modules/mysql2/lib/commands/command.js:40:20)
at Connection.handlePacket (/home/deploy_user/my-node-rds-app/node_modules/mysql2/lib/connection.js:513:28)
at PacketParser.onPacket (/home/deploy_user/my-node-rds-app/node_modules/mysql2/lib/connection.js:81:16)
at PacketParser.executeStart (/home/deploy_user/my-node-rds-app/node_modules/mysql2/lib/packet_parser.js:76:14)
at Socket.<anonymous> (/home/deploy_user/my-node-rds-app/node_modules/mysql2/lib/connection.js:89:29)
at emitOne (events.js:116:13)
at Socket.emit (events.js:211:7)
at addChunk (_stream_readable.js:263:12)
at readableAddChunk (_stream_readable.js:250:11)
at Socket.Readable.push (_stream_readable.js:208:10)
at TCP.onread (net.js:601:20)

那有什么不同？旧的RDS数据库和新的无服务器集群之间唯一明显的区别是旧的实例是MySQL 5.6.40，而新的RDS集群是Aurora MySQL 5.6.10a。此外，旧的RDS实例主机名解析为单个专用IP，而新的群集主机名解析为多个专用IP。

我使用mysql适配器获得相同的结果。我还在mysql适配器中尝试了“Amazon RDS”SSL配置文件，并获得了相同的结果。

我无法使用IAM数据库身份验证，因为此服务需要处理超过20个新连接/秒。

任何建议将不胜感激。

Answer 1

截至2018年10月，Aurora Serverless不支持SSL。 [1]。您的连接大多数会降级为实验中不安全的连接。您应该能够查询状态表以确认这一点。

[1] https://docs.aws.amazon.com/AmazonRDS/latest/AuroraUserGuide/aurora-serverless.html

Aurora无服务器不支持以下功能：

从Amazon S3存储桶加载数据

使用Aurora MySQL本机函数调用AWS Lambda函数

高级审计

极光复制品

原路返回

数据库克隆

IAM数据库身份验证

跨区域读取副本

从MySQL数据库实例恢复快照

从Amazon S3迁移备份文件

使用安全套接字层（SSL）连接到数据库集群

Answer 2

我可以确认RDS Aurora MySQL（无服务器）最终支持到群集的SSL / TLS连接。但是，需要与MySQL 8.0兼容的客户端（即使底层数据库仅为MySQL 5.6.10a，集群代理也需要8.0客户端来支持SSL）。

https://aws.amazon.com/premiumsupport/knowledge-center/rds-error-2026-ssl-connection/

（来自页面:)

ERROR 2026（HY000）：SSL连接错误：SSL_CTX_set_default_verify_paths失败或ERROR 2026（HY000）：SSL连接错误：ASN：其他签名确认错误

如果证书标识符（证书文件名）不正确，您可能会收到此错误。如果MySQL客户端不支持证书标识符，您也会收到此错误，例如使用Aurora无服务器。如果您使用Aurora无服务器群集并使用MySQL客户端连接到Aurora Serverless，则必须使用与MySQL 8.0兼容的MySQL命令。