如何强制Postfix使用TLS连接MySQL？

我之前也踩过这个坑！手动用postfix用户连MySQL TLS一切正常，但Postfix自己跑的时候就是不触发TLS连接，折腾了好几天终于找到问题所在，给你整理几个关键排查和解决步骤：

1. 必须在Postfix的MySQL lookup配置中显式指定TLS参数 #

Postfix的MySQL查询模块默认不会启用TLS，哪怕MySQL端支持也没用。你需要在对应的lookup配置文件（比如mysql-virtual-mailbox-domains.cf、mysql-virtual-alias-maps.cf这类）或者main.cf的lookup定义里，添加TLS相关参数：

• tls_verify=yes （如果不需要验证服务器证书可以设为no，建议开启验证提升安全性）
• tls_ca_file=/etc/pki/tls/certs/ca-bundle.crt （CentOS7系统默认CA证书路径，也可以指定MariaDB的专属CA证书路径）
• 若需要双向认证，再加上tls_cert_file和tls_key_file指定Postfix的客户端证书和密钥

举个实际配置文件的例子：

user = postfix
password = your_postfix_db_password
hosts = mysql.yourdomain.com
dbname = postfix
query = SELECT destination FROM virtual_aliases WHERE source='%s'
tls_verify=yes
tls_ca_file=/etc/mysql/ca-cert.pem

2. 检查Postfix是否编译了带TLS支持的MySQL驱动 #

有些简化版的Postfix包可能没编译TLS支持的MySQL模块，你可以用命令快速验证：

postconf -m | grep mysql

如果输出是mysql，说明模块支持TLS；如果是mysql_native这类变体，可能需要重新编译Postfix或者更换带完整TLS支持的包。你提到的CentOS7官方Postfix版本应该是支持的，但保险起见还是确认下。

3. 开启Postfix调试日志，追踪连接细节 #

开启调试日志能直接看到Postfix连接MySQL时有没有尝试TLS。在main.cf中添加：

debug_peer_level = 2
debug_peer_list = mysql.yourdomain.com

重启Postfix后，查看/var/log/maillog，搜索TLS或mysql关键词。如果日志里完全没出现TLS相关记录，说明配置里的TLS参数没生效，回到第一步检查配置是否正确加载。

4. 确认Postfix用的是TCP连接而非本地socket #

如果你的hosts参数设的是localhost或者本地socket路径（比如/var/lib/mysql/mysql.sock），MySQL的TLS可能不会触发——TLS仅对TCP连接生效。把hosts改成MySQL服务器的IP或域名，强制Postfix用TCP连接。

5. 检查证书文件的权限 #

确保postfix用户能读取你指定的CA证书文件，比如：

chown root:postfix /etc/mysql/ca-cert.pem
chmod 640 /etc/mysql/ca-cert.pem

我当时就是漏了在lookup配置文件里加tls_verify和tls_ca_file参数，手动测试时自己指定了TLS参数，但Postfix默认不会自动启用，加上之后立刻就正常触发TLS连接了！

内容的提问来源于stack exchange，提问作者seWilliam