如何在 Neo4j 中使用 SSL 证书而不是自签名证书（或 snakeoil.cert）

Question

对于生产 Neo4j 服务器，我需要使用非自签名的 SSL 证书。我将在下面的回复中发布经验教训。

Answer 1

sudo vi /etc/neo4j/neo4j-server.properties

uncomment org.neo4j.server.webserver.address=0.0.0.0
check: org.neo4j.server.webserver.https.enabled=true
check: org.neo4j.server.webserver.https.port=7473
change: org.neo4j.server.webserver.https.cert.location=/var/ssl/neo4j/server.crt
change: org.neo4j.server.webserver.https.key.location=/var/ssl/neo4j/server.key

现在设置访问 https 注意：私钥和证书都需要是DER格式

openssl genrsa -des3 -out server.key 4096
openssl req -new -key server.key -out server.csr

让您选择的证书颁发机构签署 server.csr（证书签名请求）。

要安装签名证书，请将其保存为 server.pem 并执行以下命令：

sudo mkdir -p /var/ssl/neo4j
sudo openssl x509 -outform der -in server.pem -out /var/ssl/neo4j/server.crt
sudo openssl rsa -in server.key -inform PEM -out /var/ssl/neo4j/server.key -outform DER

Answer 2

如果您的 neo4j 服务器位于公共子网中，并且您需要有效的 SSL 来保护传输中的数据。

对于证书生成，您可以使用原生 AWS 证书生成或 LetsEncrypt。

LetsEncrypt - Let's Encrypt 是由 Internet Security Research Group 运营的非营利性证书颁发机构，免费为传输层安全加密提供 X.509 证书。

安装 LetsEncrypt-

sudo apt-get update
sudo apt-get install software-properties-common
sudo add-apt-repository ppa:certbot/certbot
sudo apt-get update
sudo apt-get install -y certbot

生成免费证书-

$ sudo certbot certonly
Saving debug log to /var/log/letsencrypt/letsencrypt.log

# Change group of all letsencrypt files to neo4j
sudo chgrp -R neo4j /etc/letsencrypt/* 
# Make sure all directories and files are group readable.
sudo chmod -R g+rx /etc/letsencrypt/* 

设置符号链接和 neo4j 期望的目录结构

cd /var/lib/neo4j/certificates
sudo mkdir revoked trusted bak
# Move old generated certificates into a backup directory
sudo mv neo4j.* bak
export MY_DOMAIN=graph.somehost.com
# Configure cert neo4j will use
sudo ln -s /etc/letsencrypt/live/$MY_DOMAIN/fullchain.pem neo4j.cert
# Configure private key neo4j will use
sudo ln -s /etc/letsencrypt/live/$MY_DOMAIN/privkey.pem neo4j.key
# Indicate that this cert is trusted for neo4j
sudo ln -s /etc/letsencrypt/live/$MY_DOMAIN/fullchain.pem trusted/neo4j.cert

更新 Neo4jConf 文件

dbms.connectors.default_listen_address=0.0.0.0
dbms.connectors.default_advertised_address=your.hostname.com
bolt.ssl_policy=default
dbms.ssl.policy.default.base_directory=/var/lib/neo4j/certificates
dbms.ssl.policy.default.allow_key_generation=false
dbms.ssl.policy.default.private_key=/var/lib/neo4j/certificates/neo4j.key
dbms.ssl.policy.default.public_certificate=/var/lib/neo4j/certificates/neo4j.cert
dbms.ssl.policy.default.revoked_dir=/var/lib/neo4j/certificates/revoked
dbms.ssl.policy.default.client_auth=NONE

重启所有节点。

Answer 3

感谢 rvaneijk。它对我有用。

安装签名证书（从您的 CA 获得）。将您的 pem 和密钥文件保存在同一个文件夹中。

1. 以（der 格式）创建证书，扩展名为 .crt

sudo openssl x509 -outform der -in your_server_pem.pem -out /.crt

1. 创建 DER 格式的密钥

sudo openssl rsa -in server.key -inform PEM -out /.key -outform DER

http://www.scriptscoop2.com/t/8f3630652fcd/how-to-use-ssl-certificates-in-neo4j-instead-of-self-signed-certificat.html