[golang]使用mTLS双向加密认证http通信

悠扬随风  金牌会员 | 2023-8-8 03:56:50 | 显示全部楼层 | 阅读模式
打印 上一主题 下一主题
楼主

主题 875|帖子 875|积分 2625

前言

假设一个场景，服务端部署在内网，客户端需要通过暴露在公网的nginx与服务端进行通信。为了避免在公网进行 http 明文通信造成的信息泄露，nginx与客户端之间的通信应当使用 https 协议，并且nginx也要验证客户端的身份，也就是mTLS双向加密认证通信。
这条通信链路有三个角色：服务端、Nginx、客户端。

  • 服务端部署在内网，与nginx使用http通信。
  • 客户端在公网，与nginx使用https通信，且双向加密认证。

服务端

服务端只使用http，所以这里用gin框架写个简单的示例，返回客户端一些基本的http信息，比如客户端IP、请求方法、host等。
  1. package main
  3. import (
  4.         "log"
  5.         "net/http"
  6.         "time"
  8.         "github.com/gin-gonic/gin"
  9. )
  11. /* 中间件: 获取api处理时长 */
  12. func midElapsed(c *gin.Context) {
  13.         start := time.Now()
  14.         c.Next()
  15.         elapsed := time.Since(start)
  16.         log.Printf("API: %s, elapsed: %s", c.Request.URL.Path, elapsed)
  17. }
  19. /* 处理 GET / 请求 */
  20. func f1(c *gin.Context) {
  21.         // 获取客户端IP
  22.         clientIP := c.ClientIP()
  24.         // 获取请求方法
  25.         method := c.Request.Method
  27.         // 获取协议
  28.         proto := c.Request.Proto
  30.         // 获取host
  31.         host := c.Request.Host
  33.         // 请求Path
  34.         path := c.Request.URL.Path
  36.         log.Printf("客户端IP: %s, 请求方法: %s, 协议: %s, host: %s, path: %s", clientIP, method, proto, host, path)
  38.         // 获取请求头
  39.         headers := c.Request.Header
  40.         for hk, hv := range headers {
  41.                 log.Printf("header key: %s, value: %s", hk, hv)
  42.         }
  44.         // 获取名为"mycookie"的cookie
  45.         var cookies []string
  46.         cookie, err := c.Cookie("mycookie")
  47.         if err != nil {
  48.                 log.Printf("get cookie [mycookie] error: %s", err)
  49.         } else {
  50.                 log.Printf("get cookie [mycookie]: %s", cookie)
  51.                 cookies = append(cookies, cookie)
  52.         }
  54.         c.JSON(http.StatusOK, gin.H{
  55.                 "clientIP": clientIP,
  56.                 "method":   method,
  57.                 "proto":    proto,
  58.                 "host":     host,
  59.                 "headers":  headers,
  60.                 "cookies":  cookies,
  61.                 "path":     path,
  62.         })
  63. }
  65. func main() {
  66.         r := gin.Default()
  67.         r.Use(midElapsed) // 全局引用计算耗时的中间件
  68.         r.GET("/", f1)
  69.         r.Run("0.0.0.0:8080")
  70. }
复制代码
生成证书


  • 生成ca根证书。生成过程会要求填写密码、CN、ON、OU等信息，记住密码，填写的信息也要和下一步openssl.cnf文件内容一致。
  1. openssl req -x509 -newkey rsa:4096 -keyout ca.key -out ca.crt -days 3650
复制代码

  • 新建并编辑文件openssl.cnf文件。req_distinguished_name中内容按需填写，DNS.1要替换成实际域名。
  1. [req]
  2. req_extensions = v3_req
  3. distinguished_name = req_distinguished_name
  4. prompt = no
  6. [req_distinguished_name]
  7. countryName = CN
  8. stateOrProvinceName = Anhui
  9. localityName = Hefei
  10. organizationName = zhangsan
  11. commonName = qw.er.com
  13. [v3_req]
  14. subjectAltName = @alt_names
  16. [alt_names]
  17. DNS.1 = qw.er.com
复制代码

  • 生成服务端证书
  1. openssl req -newkey rsa:2048 -nodes -keyout server.key -out server.csr -subj "/CN=qw.er.com" -config openssl.cnf
  3. # 提示输入ca私钥的密码
  4. openssl x509 -req -in server.csr -out server.crt -CA ca.crt -CAkey ca.key -CAcreateserial -days 365 -extensions v3_req -extfile openssl.cnf
复制代码

  • 生成客户端证书
  1. openssl req -newkey rsa:2048 -nodes -keyout client.key -out client.csr -subj "/CN=qw.er.com" -config openssl.cnf
  3. # 提示输入ca私钥的密码
  4. openssl x509 -req -in client.csr -out client.crt -CA ca.crt -CAkey ca.key -CAcreateserial -days 365 -extensions v3_req -extfile openssl.cnf
复制代码
Nginx配置

nginx反向代理服务端的配置示例如下
  1. server {
  2.     listen 80 ssl;
  3.     server_name qw.er.com;
  4.     ssl_certificate /home/atlas/apps/nginx/certs/qwer/server.crt;
  5.     ssl_certificate_key /home/atlas/apps/nginx/certs/qwer/server.key;
  6.    
  7.     # 校验客户端证书
  8.     ssl_verify_client on;
  9.     ssl_client_certificate /home/atlas/apps/nginx/certs/qwer/ca.crt;
  10.     location / {
  11.         proxy_set_header Host $host;
  12.         proxy_set_header X-real-ip $remote_addr;
  13.         proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
  14.         proxy_pass http://192.168.0.10:8080; # 服务端地址
  15.     }
  16. }
复制代码
客户端

以下示例使用命令行传参的方式，指定tls证书文件和是否使用tls通信。
  1. package main
  3. import (
  4.         "crypto/tls"
  5.         "crypto/x509"
  6.         "flag"
  7.         "io"
  8.         "log"
  9.         "net/http"
  10.         "os"
  11.         "time"
  12. )
  14. var (
  15.         cafile  = flag.String("cafile", "ca.crt", "ca 证书文件")
  16.         crtfile = flag.String("crtfile", "client.crt", "客户端tls证书")
  17.         keyfile = flag.String("keyfile", "client.key", "客户端tls私钥")
  18.         url     = flag.String("url", "http://127.0.0.1:8080", "url")
  19.         isTls   = flag.Bool("tls", false, "是否使用tls")
  20. )
  22. func tlsClient(cafile, crtfile, keyfile string) *http.Transport {
  23.         // 加载证书和私钥
  24.         clientCert, err := tls.LoadX509KeyPair(crtfile, keyfile)
  25.         if err != nil {
  26.                 log.Fatalf("load key pair error: %s", err)
  27.         }
  29.         // 加载ca证书
  30.         clientCA, err := os.ReadFile(cafile)
  31.         if err != nil {
  32.                 log.Fatalf("load ca cert error: %s", err)
  33.         }
  35.         // 创建根证书池并添加ca证书
  36.         caCertPool := x509.NewCertPool()
  37.         caCertPool.AppendCertsFromPEM(clientCA)
  39.         // 创建transport
  40.         tr := &http.Transport{
  41.                 TLSClientConfig: &tls.Config{
  42.                         Certificates: []tls.Certificate{clientCert},
  43.                         RootCAs:      caCertPool,
  44.                 },
  45.         }
  47.         return tr
  48. }
  50. func main() {
  51.         flag.Parse()
  53.         req, err := http.NewRequest("GET", *url, nil)
  54.         if err != nil {
  55.                 log.Fatalf("new request error: %s", err)
  56.         }
  57.         // 自定义HTTP请求头
  58.         req.Header.Set("myheader1", "myheader1value123")
  59.         // 自定义一个cookie对象
  60.         cookie := &http.Cookie{
  61.                 Name: "mycookie",
  62.                 Value: "mycookievalue",
  63.         }
  64.         req.AddCookie(cookie)
  66.         client := &http.Client{
  67.                 Timeout: time.Second * 5,
  68.         }
  69.         if *isTls {
  70.                 client.Transport = tlsClient(*cafile, *crtfile, *keyfile)
  71.         }
  73.         resp, err := client.Do(req)
  74.         if err != nil {
  75.                 log.Fatalf("get error: %s", err)
  76.         }
  77.         defer resp.Body.Close()
  79.         body, err := io.ReadAll(resp.Body)
  80.         if err != nil {
  81.                 log.Fatalf("read error: %s", err)
  82.         }
  84.         log.Printf("body: %+v", string(body))
  85. }
复制代码
Nginx配置
  1. server {
  2.     listen 80 ssl;
  3.     server_name qw.er.com;
  4.     ssl_certificate /home/elifen/apps/nginx/certs/qwer/server.crt;
  5.     ssl_certificate_key /home/elifen/apps/nginx/certs/qwer/server.key;
  6.     ssl_verify_client on;
  7.     ssl_client_certificate /home/elifen/apps/nginx/qwer/ca.crt;
  8.     location / {
  9.         proxy_set_header Host $host;
  10.         proxy_set_header X-real-ip $remote_addr;
  11.         proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
  12.         proxy_pass http://192.168.0.10:8080;
  13.     }
  14. }
复制代码
测试

这里需要先确保qw.er.com能被正常解析到nginx服务器，比如配置hosts文件或dns解析记录。
  1. go run main.go -cafile ./ca.crt -crtfile ./client.crt -keyfile ./client.key -url 'https://qw.er.com:80/' -tls
复制代码
输出示例
  1. 2023/08/07 17:34:51 body: {"clientIP":"192.168.0.11","cookies":["mycookievalue"],"headers":{"Accept-Encoding":["gzip"],"Connection":["close"],"Cookie":["mycookie=mycookievalue"],"Myheader1":["myheader1value123"],"User-Agent":["Go-http-client/1.1"],"X-Forwarded-For":["192.168.0.11"],"X-Real-Ip":["192.168.0.11"]},"host":"qw.er.com","method":"GET","path":"/","proto":"HTTP/1.0"}
复制代码
免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！

本帖子中包含更多资源

您需要 登录 才可以下载或查看，没有账号？立即注册

x
回复

使用道具 举报

0 个回复

倒序浏览
返回列表

快速回复

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 or 立即注册

本版积分规则

悠扬随风

金牌会员
这个人很懒什么都没写!

楼主热帖

标签云

存储 服务器
微信订阅号
微信服务号
微信客服
小程序
H5
关于我们 商务合作 网站地图
©Copyright 2022-2024 杭州祥升科技有限公司 版权所有 浙ICP备20004199号
快速回复 返回顶部 返回列表