连接到给定 MySQL 服务器实例的协议集受多个因素的影响，如下所示：

从MySQL 8.0.28开始，不再支持TLSv1和TLSv1.1连接协议。这些协议从MySQL 8.0.26开始被弃用。有关背景信息，请参阅IETF备忘录弃用TLSv1.0和TLSv1.1。建议使用更安全的TLSv1.2和TLSv1.3协议。TLSv1.3需要MySQL服务器和客户端应用程序都编译了OpenSSL 1.1.1。

删除对TLSv1和TLSv1.1的支持，因为这些协议版本很旧，分别发布于1996年和2006年。这些算法使用的是弱旧的。除非您使用非常旧的MySQL Server或连接器，否则您不太可能使用TLSv1.0或TLSv1.1连接。MySQL连接器和客户端默认选择最高的TLS版本。

在不支持TLSv1和TLSv1.1连接协议的版本中（从MySQL 8.0.28开始），包括MySQL Shell在内的客户端，支持指定TLS协议的--tls-version选项，无法使用TLSv1或TLSv1.1协议连接到MySQL服务器。如果客户端尝试使用这些协议连接，TCP连接将失败，并返回错误给客户端。对于套接字连接，如果--ssl-mode设置为REQUIRED，连接将失败，否则连接将被禁用TLS/SSL。

在服务器端，从MySQL 8.0.28开始，以下设置将被更改：

在弃用TLSv1和TLSv1.1连接协议的版本中（MySQL 8.0.26和MySQL 8.0.27），服务器将写入错误日志，如果它们包含在tls_version或admin_tls_version系统变量的值中，并且如果客户端成功连接使用它们。警告也将返回，如果您在运行时设置弃用协议并使用ALTER INSTANCE RELOAD TLS语句实现它们。客户端，包括副本指定TLS协议连接到源服务器和组复制组成员指定TLS协议分布式恢复连接，不会发出警告，如果它们配置为允许弃用TLS协议。

有关更多信息，请参阅MySQL 8.0是否支持TLS 1.0和1.1？

在服务器端，tls_version 系统变量确定了 MySQL 服务器允许的 TLS 协议版本，以便进行加密连接。tls_version 值适用于来自客户端的连接、源/副本复制连接（其中该服务器实例是源）、组复制组通信连接和组复制分布式恢复连接（其中该服务器实例是捐赠者）。管理连接接口配置类似，但使用 admin_tls_version 系统变量（见 第 7.1.12.2 节，“管理连接管理”）。本讨论也适用于 admin_tls_version。

tls_version 值是一个或多个以逗号分隔的 TLS 协议版本列表，不区分大小写。默认情况下，该变量列出了 MySQL Server 发布版本和 SSL 库支持的所有协议。因此，默认设置如 表 8.14，“MySQL 服务器 TLS 协议默认设置” 所示。

要确定 tls_version 的运行时值，请使用以下语句：

mysql> SHOW GLOBAL VARIABLES LIKE 'tls_version';
+---------------+-----------------------+
| Variable_name | Value                 |
+---------------+-----------------------+
| tls_version   | TLSv1.2,TLSv1.3       |
+---------------+-----------------------+

要更改 tls_version 的值，请在服务器启动时设置它。例如，要允许使用 TLSv1.2 或 TLSv1.3 协议的连接，但禁止使用不太安全的 TLSv1 和 TLSv1.1 协议，请在服务器 my.cnf 文件中使用以下行：

[mysqld]
tls_version=TLSv1.2,TLSv1.3

要变得更加 restrictiv 并仅允许 TLSv1.3 连接，请将 tls_version 设置如下：

[mysqld]
tls_version=TLSv1.3

tls_version 可以在运行时更改。请参阅 服务器端运行时配置和监控加密连接。

在客户端，--tls-version 选项指定客户端程序允许的 TLS 协议版本，以连接到服务器。选项值的格式与之前描述的 tls_version 系统变量相同（一个或多个以逗号分隔的协议版本列表）。

对于源/副本复制连接，其中该服务器实例是副本，SOURCE_TLS_VERSION 选项为 CHANGE REPLICATION SOURCE TO 语句指定副本允许的 TLS 协议版本，以连接到源。选项值的格式与之前描述的 tls_version 系统变量相同。请参阅 第 19.3.1 节，“设置复制以使用加密连接”。

可以为 SOURCE_TLS_VERSION 指定的协议取决于 SSL 库。此选项独立于服务器 tls_version 值不受影响。例如，作为副本的服务器可以配置 tls_version 设置为 TLSv1.3，以仅允许使用 TLSv1.3 的入站连接，但也可以配置 SOURCE_TLS_VERSION 设置为 TLSv1.2，以仅允许 TLSv1.2 的出站副本连接到源。

对于组复制分布式恢复连接，其中该服务器实例是加入成员，启动分布式恢复（即客户端），group_replication_recovery_tls_version系统变量指定了客户端允许的协议。再次，这个选项独立于且不受服务器tls_version值的影响，该值适用于当该服务器实例是捐赠者时。组复制服务器通常在其组成员资格期间同时作为捐赠者和加入成员，因此这两个系统变量都应该被设置。请参阅第 20.6.2 节，“使用安全套接字层（SSL）保护组通信连接”。

TLS 协议配置影响连接使用的协议，如连接 TLS 协议协商中所述。

允许的协议应该被选择，以免在列表中留下““漏洞”。例如，这些服务器配置值不包含漏洞：

tls_version=TLSv1,TLSv1.1,TLSv1.2,TLSv1.3
tls_version=TLSv1.1,TLSv1.2,TLSv1.3
tls_version=TLSv1.2,TLSv1.3
tls_version=TLSv1.3

这些值包含漏洞，不应该被使用：

tls_version=TLSv1,TLSv1.2       (TLSv1.1 is missing)
tls_version=TLSv1.1,TLSv1.3     (TLSv1.2 is missing)

禁止漏洞的规则也适用于其他配置上下文，例如客户端或副本。

除非您意图禁用加密连接，否则允许协议列表不应该为空。如果您将 TLS 版本参数设置为空字符串，加密连接将无法建立：

默认情况下，应用于加密连接的一组密码套件，可以通过显式配置允许的密码来覆盖。在连接建立期间，连接的两端必须允许某个共同的密码，否则连接将失败。在允许的密码中，SSL 库选择了支持提供的证书的最高优先级的密码。

要指定适用于使用 TLS 协议的加密连接的密码或密码套件：

对于使用 TLSv1.3 的加密连接，OpenSSL 1.1.1 及更高版本支持以下密码套件，默认情况下启用这些密码套件以供服务器系统变量 --tls-ciphersuites 或 --admin-tls-ciphersuites 使用：

TLS_AES_128_GCM_SHA256
TLS_AES_256_GCM_SHA384
TLS_CHACHA20_POLY1305_SHA256
TLS_AES_128_CCM_SHA256

要显式配置允许的 TLSv1.3 密码套件，请设置以下参数。在每种情况下，配置值都是零个或多个以冒号分隔的密码套件名称。

密码套件支持需要 MySQL 服务器和客户端应用程序都使用 OpenSSL 1.1.1 或更高版本编译。

给定的密码可能只能与特定的TLS协议一起工作，这会影响TLS协议negotiation过程。请参阅连接TLS协议Negotiation。

要确定服务器支持哪些密码，请检查会话值Ssl_cipher_list状态变量：

SHOW SESSION STATUS LIKE 'Ssl_cipher_list';

状态变量Ssl_cipher_list列出了可能的SSL密码（非SSL连接为空）。如果MySQL支持TLSv1.3，则该值包括可能的TLSv1.3密码套件。

对于使用TLSv1.3的加密连接，MySQL使用SSL库的默认密码套件列表。

对于使用TLS协议的加密连接，直到TLSv1.2，MySQL将以下默认密码列表传递给SSL库，以便与服务器系统变量--ssl-cipher和--admin-ssl-cipher一起使用。

ECDHE-ECDSA-AES128-GCM-SHA256
ECDHE-ECDSA-AES256-GCM-SHA384
ECDHE-RSA-AES128-GCM-SHA256
ECDHE-RSA-AES256-GCM-SHA384
ECDHE-ECDSA-CHACHA20-POLY1305
ECDHE-RSA-CHACHA20-POLY1305
ECDHE-ECDSA-AES256-CCM
ECDHE-ECDSA-AES128-CCM
DHE-RSA-AES128-GCM-SHA256
DHE-RSA-AES256-GCM-SHA384
DHE-RSA-AES256-CCM
DHE-RSA-AES128-CCM
DHE-RSA-CHACHA20-POLY1305

这些密码限制如下：

如果服务器以ssl_cert系统变量设置为使用任何上述限制密码或密码类别的证书，服务器将禁用加密连接支持。

MySQL中的连接尝试会在双方都支持的最高TLS协议版本上进行negotiation，以便找到双方都支持的加密密码。negotiation过程取决于因素，如SSL库、TLS协议和加密密码配置，以及使用的密钥大小：

如果服务器和客户端没有共同的允许协议和兼容的密码，服务器将终止连接请求。示例：

MySQL 允许指定一系列协议以支持。该列表将直接传递给底层 SSL 库，并最终由该库决定从提供的列表中启用哪些协议。请参阅 MySQL 源代码和 OpenSSL SSL_CTX_new() 文档，以获取关于 SSL 库如何处理此操作的信息。

要确定当前客户端会话使用的加密 TLS 协议和密码，请检查会话值的 Ssl_version 和 Ssl_cipher 状态变量：

mysql> SELECT * FROM performance_schema.session_status
       WHERE VARIABLE_NAME IN ('Ssl_version','Ssl_cipher');
+---------------+---------------------------+
| VARIABLE_NAME | VARIABLE_VALUE            |
+---------------+---------------------------+
| Ssl_cipher    | DHE-RSA-AES128-GCM-SHA256 |
| Ssl_version   | TLSv1.2                   |
+---------------+---------------------------+

如果连接未加密，则这两个变量的值为空。