在当今的网络环境中,数据安全是至关重要的，许多传统协议，如POP3、IMAP、SMTP甚至数据库连接，在设计之初并未考虑加密传输，这导致数据在公网中明文传输时存在被窃听的风险，Stunnel（版本5）正是为了解决这一问题而生的强大工具，它作为一个SSL加密隧道包装器，能够在客户端和服务器之间为任意TCP连接提供透明的加密服务，从而在不修改原有应用程序代码的情况下，为不安全的协议增加一层坚固的TLS/SSL保护，本文将详细介绍如何在CentOS系统上安装、配置和管理stunnel5。
安装Stunnel5
在CentOS上,stunnel通常包含在EPEL（Extra Packages for Enterprise Linux）软件仓库中，首先需要确保EPEL仓库已启用。
对于CentOS 7系统，可以使用yum命令进行安装：
sudo yum install epel-release -y sudo yum install stunnel -y
对于CentOS 8或其衍生系统（如Stream），则使用dnf：
sudo dnf install epel-release -y sudo dnf install stunnel -y
安装完成后,可以通过运行 stunnel -version 命令来验证安装是否成功，并查看其版本信息，确保我们使用的是版本5或更高。
核心概念与工作原理
Stunnel的工作模式可以简化为“客户端-服务器”模型，它在两端都运行一个stunnel进程。
- 服务器端：监听一个指定的端口（一个非标准的安全端口），接收来自客户端的加密连接，解密数据后，将其转发到本地运行的实际服务端口（如MySQL的3306端口）。
- 客户端：运行在应用程序所在的机器上，它监听一个本地端口（依然是3306端口），应用程序像往常一样连接这个本地端口，Stunnel客户端接收连接，将数据加密，然后发送到远程stunnel服务器的监听端口。
通过这种方式,应用程序本身无需任何改动，数据传输全程被加密，实现了对老旧协议的安全加固。
配置详解
Stunnel的所有配置都集中在其主配置文件中,通常位于 /etc/stunnel/stunnel.conf，一个完整的配置流程包括生成证书、配置服务器端和配置客户端。
生成SSL证书
TLS加密依赖于证书,对于内部服务，我们可以生成一个自签名证书，使用OpenSSL工具可以轻松完成：
sudo openssl genrsa -out /etc/stunnel/stunnel.key 2048 sudo openssl req -new -x509 -key /etc/stunnel/stunnel.key -out /etc/stunnel/stunnel.pem -days 365
在执行第二条命令时,会提示输入一些信息（如国家、组织名称等），可以根据实际情况填写，也可以直接回车跳过，完成后，stunnel.key是私钥文件，stunnel.pem是证书文件。
服务器端配置
编辑 /etc/stunnel/stunnel.conf 文件，一个典型的服务器端配置如下：
; 全局设置 cert = /etc/stunnel/stunnel.pem key = /etc/stunnel/stunnel.key chroot = /var/run/stunnel pid = /stunnel.pid user = nobody group = nobody ; 日志级别 debug = 7 output = /var/log/stunnel.log ; 服务定义 - 加密MySQL连接 [mysql-secure] accept = 4433 connect = 127.0.0.1:3306
配置项解释：
cert和key：指定我们刚才生成的证书和私钥路径。chroot：为了安全，将stunnel进程限制在特定目录内。pid：指定PID文件路径。user/group：指定运行stunnel服务的用户和组，降低权限。[mysql-secure]：这是一个服务段，方括号内的名称是自定义的。accept = 4433：stunnel服务器将在此端口上监听来自客户端的加密连接。connect = 127.0.0.1:3306：接收到解密后的数据，转发到本地3306端口的MySQL服务。
客户端配置
在客户端机器上（也需要安装stunnel），创建 /etc/stunnel/stunnel.conf 文件：
; 客户端配置 client = yes ; 如果需要验证服务器证书（自签名证书需要） ; CAfile = /path/to/server_cert.pem ; 服务定义 - 连接远程MySQL [mysql-remote] accept = 3306 connect = SERVER_IP:4433
配置项解释：
client = yes：明确告知stunnel以客户端模式运行。[mysql-remote]：客户端服务段。accept = 3306：在本地监听3306端口，应用程序连接此端口。connect = SERVER_IP:4433：将加密后的数据发送到远程stunnel服务器的IP地址和端口（SERVER_IP需替换为实际IP）。
启动与管理
配置完成后,就可以启动stunnel服务了，在CentOS 7及以上版本，使用systemctl进行管理。
启动并设置开机自启：
sudo systemctl start stunnel sudo systemctl enable stunnel
检查服务状态：
sudo systemctl status stunnel
防火墙配置：
非常重要的一步是确保服务器的防火墙允许stunnel监听的端口（本例中为4433）。
sudo firewall-cmd --permanent --add-port=4433/tcp sudo firewall-cmd --reload
实际应用场景流程
假设我们有一个位于168.1.100的MySQL服务器，客户端应用位于168.1.200，我们希望加密它们之间的连接，整个数据流如下表所示：
| 组件 | IP地址 | 端口 | 角色 |
|---|---|---|---|
| MySQL客户端应用 | 168.1.200 | 3306 | 连接到本地stunnel客户端 |
| Stunnel客户端 | 168.1.200 | 3306 (accept) | 接收应用数据，加密后转发 |
| Stunnel客户端 | 168.1.200 | -> 192.168.1.100:4433 (connect) | 发送加密数据 |
| Stunnel服务器 | 168.1.100 | 4433 (accept) | 接收加密数据，解密后转发 |
| Stunnel服务器 | 168.1.100 | -> 127.0.0.1:3306 (connect) | 发送明文数据到本地MySQL |
| MySQL服务器 | 168.1.100 | 3306 | 处理最终的数据库请求 |
通过这种方式,从168.1.200到168.1.100的整个网络传输都是加密的，极大地提升了数据安全性。
相关问答 (FAQs)
Q1: Stunnel和SSH隧道有什么区别？我应该选择哪一个？
A1: 两者都能创建加密隧道，但设计哲学和适用场景有所不同，SSH隧道（端口转发）更为通用，可以转发任何TCP端口，设置简单，通常用于临时的、点对点的安全访问，Stunnel则更像一个专用的、持久化的加密代理，它为特定服务（如数据库、邮件）提供透明的加密层，更适合作为后台服务长期运行，无需用户干预，如果只是偶尔需要安全地访问某个内部端口，SSH隧道更方便，如果需要为多个客户端或一个服务集群提供永久的、透明的加密，Stunnel是更专业、更高效的选择。
Q2: 我的Stunnel连接失败了，应该如何排查问题？
A2: 排查Stunnel连接问题可以遵循以下步骤：
- 查看日志：首先检查stunnel的日志文件（在配置中由
output指定，默认可能在/var/log/stunnel.log或/var/log/messages），日志通常会提供最直接的错误信息，如证书问题、权限不足或端口被占用。 - 检查防火墙：确认服务器端的防火墙（
firewalld或iptables）已经开放了stunnel的accept端口，检查网络中是否有其他安全组或ACL策略阻止了连接。 - 验证证书：确保服务器端的证书和私钥文件路径正确，且文件权限允许stunnel用户（如
nobody）读取，如果客户端开启了证书验证（CAfile），确保证书已正确放置。 - 端口可用性：使用
netstat -tulnp | grep <端口号>或ss -tulnp | grep <端口号>命令，确认stunnel进程正在监听预期的端口，且该端口没有被其他程序占用。 - 网络连通性：从客户端使用
telnet SERVER_IP 4433（替换为实际IP和端口）测试是否能直接连接到stunnel服务器，如果无法连接，说明是网络层面的问题，如果能连接，则问题可能出在证书或配置上。
【版权声明】：本站所有内容均来自网络，若无意侵犯到您的权利，请及时与我们联系将尽快删除相关内容!
发表回复