Communication sécurisée optionnelle entre ClickHouse et ZooKeeper

Cette page ne concerne pas ClickHouse Cloud. La procédure décrite ici est automatisée dans les services ClickHouse Cloud.

Vous devez spécifier ssl.keyStore.location, ssl.keyStore.password, ssl.trustStore.location et ssl.trustStore.password pour communiquer avec le client ClickHouse via SSL. Ces options sont disponibles à partir de la version 3.5.2 de ZooKeeper. Vous pouvez ajouter zookeeper.crt aux certificats approuvés.

sudo cp zookeeper.crt /usr/local/share/ca-certificates/zookeeper.crt
sudo update-ca-certificates

La section Client de config.xml ressemblera à :

<client>
    <certificateFile>/etc/clickhouse-server/client.crt</certificateFile>
    <privateKeyFile>/etc/clickhouse-server/client.key</privateKeyFile>
    <loadDefaultCAFile>true</loadDefaultCAFile>
    <cacheSessions>true</cacheSessions>
    <disableProtocols>sslv2,sslv3</disableProtocols>
    <preferServerCiphers>true</preferServerCiphers>
    <invalidCertificateHandler>
        <name>RejectCertificateHandler</name>
    </invalidCertificateHandler>
</client>

Ajoutez Zookeeper à la configuration de ClickHouse avec quelques paramètres de cluster et des macros :

<clickhouse>
    <zookeeper>
        <node>
            <host>localhost</host>
            <port>2281</port>
            <secure>1</secure>
        </node>
    </zookeeper>
</clickhouse>

Démarrez clickhouse-server. Dans les logs, vous devriez voir :

<Trace> ZooKeeper: initialized, hosts: secure://localhost:2281

Le préfixe secure:// indique que la connexion est sécurisée par SSL. Pour vérifier que le trafic est chiffré, exécutez tcpdump sur le port sécurisé :

tcpdump -i any dst port 2281 -nnXS

Puis exécutez la requête dans clickhouse-client :

SELECT * FROM system.zookeeper WHERE path = '/';

Avec une connexion non chiffrée, vous verrez dans la sortie de tcpdump quelque chose comme ceci :

..../zookeeper/quota.

Avec une connexion chiffrée, vous ne devriez pas voir ceci.