Então o cenário é esse. Já configurei um cluster MariaDB Galera de 4 nós (10.5). Também estou adicionando em cima um 5º Árbitro Galera e tudo sincroniza e conecta muito bem. No entanto, quando habilito o SSL no cluster (depois de inicializá-lo do zero), consigo sincronizar os 4 nós, mas o Árbitro por algum motivo não sincroniza.
Interessante é que quando os nós estão sincronizando eles estão produzindo "connecting...ssl://172.31.0.4:4567". No entanto, quando o árbitro está tentando sincronizar, está exibindo "conectando...tcp://172.31.0.4:4567". Parece que está tentando sobre tcp por algum motivo.
Sua configuração é essa quando eu inicializo
name: garb
address: gcomm://mariadb-galera-0:4567,mariadb-galera-1:4567,mariadb-galera-2:4567,mariadb-galera-3:4567,mariadb-galera-arb:4567
group: scluster
sst: trivial
donor:
options: socket.ssl_key=/etc/ssl/galera/server-key.pem;socket.ssl_cert=/etc/ssl/galera/server-cert.pem;socket.ssl_ca=/etc/ssl/galera/ca-cert.pem;socket.ssl_cipher=AES128-SHA; gcs.fc_limit=9999999; gcs.fc_factor=1.0; gcs.fc_master_slave=yes
cfg:
log:
Não me dá um erro ssl ou cert apenas expirando
INFO: (8bef8261-9d27, 'tcp://0.0.0.0:4567') connection to peer 00000000-0000 with addr tcp://172.31.0.4:4567 timed out, no messages seen in PT3S, socket stats: rtt: 39 rttvar: 19 rto: 200000 lost: 0 last_data_recv: 3500 cwnd: 10 last_queued_since: 3499991400 last_delivered_since: 3499991400 send_queue_length: 0 send_queue_bytes: 0
Os pem
arquivos são exatamente os mesmos que estou usando em todos os nós + o árbitro.
Li na documentação que preciso especificar cipher
caso contrário estarei recebendo um erro. Eu tentei AES128-SHA
e AES128-SHA256
não declarando nada, mas ainda expirando.
Abaixo estão as opções do provedor wsrep do phpmyadmin de um dos nós. O cipher
parece vazio, mas, novamente, por que o árbitro está tentando se conectar a "tcp://" e não a "ssl://" como os outros?
Obrigado por ajudar
Existe um sinalizador
socket.ssl
= sim que as opções degarbd
necessidade que por algum motivo não estão documentadas precisam ser habilitadas para que o arb tente se conectar via SSL.