如何在Sybase数据库中启用SSL功能并配置证书与密钥？

1. 生成SSL证书与密钥（无现成证书时） #

使用openssl生成自签证书（仅用于测试，生产环境建议使用受信任CA签发的证书）：

# 生成2048位私钥（生产环境建议添加密码保护）
openssl genrsa -out sybase_private.key 2048
# 生成证书签名请求（CSR）
openssl req -new -key sybase_private.key -out sybase_csr.csr
# 生成有效期365天的自签证书
openssl x509 -req -days 365 -in sybase_csr.csr -signkey sybase_private.key -out sybase_cert.pem

2. 将证书密钥部署到容器内 #

datagrip/sybase镜像的Sybase主目录通常为/opt/sybase，可通过以下方式将证书传入容器：

方式一：启动容器时挂载本地目录 #

docker run -d \
  -v /本地证书目录路径:/opt/sybase/ssl \
  --name sybase-ssl \
  datagrip/sybase

方式二：复制文件到已运行容器 #

docker cp sybase_private.key sybase-ssl:/opt/sybase/ssl/
docker cp sybase_cert.pem sybase-ssl:/opt/sybase/ssl/

修正文件权限 #

确保Sybase进程可读取证书密钥：

docker exec -it sybase-ssl chown sybase:sybase /opt/sybase/ssl/*.key /opt/sybase/ssl/*.pem
docker exec -it sybase-ssl chmod 600 /opt/sybase/ssl/sybase_private.key
docker exec -it sybase-ssl chmod 644 /opt/sybase/ssl/sybase_cert.pem

3. 配置Sybase监听接口 #

编辑Sybase的interfaces文件（路径通常为/opt/sybase/interfaces），添加SSL监听端口配置：

SYBASE_SSL
    master tcp ether 0.0.0.0 5001
        ssl certificate /opt/sybase/ssl/sybase_cert.pem
        ssl privatekey /opt/sybase/ssl/sybase_private.key
    query tcp ether 0.0.0.0 5001
        ssl certificate /opt/sybase/ssl/sybase_cert.pem
        ssl privatekey /opt/sybase/ssl/sybase_private.key

• 0.0.0.0允许所有IP访问，可替换为指定IP；5001为自定义SSL端口，可按需修改。

4. 启用Sybase SSL参数并重启 #

登录Sybase服务器 #

docker exec -it sybase-ssl isql -U sa -P <你的SA密码> -S SYBASE

执行配置命令 #

-- 启用SSL功能
sp_configure 'ssl', 1
go
-- 指定证书路径
sp_configure 'ssl certificate', '/opt/sybase/ssl/sybase_cert.pem'
go
-- 指定私钥路径
sp_configure 'ssl private key', '/opt/sybase/ssl/sybase_private.key'
go
-- 应用配置
reconfigure with override
go

重启Sybase服务 #

docker exec -it sybase-ssl stopsrv -S SYBASE
docker exec -it sybase-ssl startsrv -S SYBASE

5. 测试SSL连接 #

使用isql命令测试SSL连接：

# 基础SSL连接
isql -U sa -P <你的SA密码> -S SYBASE_SSL -C SSL
# 自签证书需跳过验证时
isql -U sa -P <你的SA密码> -S SYBASE_SSL -C SSL -K noverify

若连接成功，说明SSL配置生效。

注意事项 #

• 容器需映射SSL端口（如-p 5001:5001），才能支持外部访问。
• 使用Datagrip连接时，在连接配置中开启SSL选项，自签证书需勾选“不验证服务器证书”。

内容的提问来源于stack exchange，提问作者YHAO P