返回

使用 Envoy 开启 TLS 验证，实现安全通信

见解分享

TLS 验证：微服务安全通信的基石

在当今分布式系统和微服务架构盛行的时代，确保微服务之间通信的安全至关重要。传输层安全（TLS）协议应运而生，为网络通信提供加密和身份验证机制，成为微服务安全通信的基石。

TLS 验证，又称双向 TLS（mTLS），是一种高级的身份验证机制，它要求通信双方相互验证对方的身份。通过使用数字证书，TLS 验证可以确保通信双方的真实性，防止中间人攻击和身份欺骗，为微服务之间的通信提供强有力的安全保障。

Envoy：微服务时代的网络代理利器

Envoy 是一个开源的服务网格代理，它负责管理微服务之间的通信。Envoy 的强大功能使其成为实施 TLS 验证的理想选择。它提供了灵活的配置选项，允许用户轻松配置 TLS 验证，并提供了丰富的功能，如负载均衡、故障转移和流量管理，帮助用户构建健壮且可扩展的微服务架构。

使用 Envoy 开启 TLS 验证：一步步实战指南

1. 生成证书

首先，我们需要为 Envoy 和微服务生成数字证书。可以使用 OpenSSL 工具轻松生成证书：

openssl req -x509 -newkey rsa:2048 -keyout envoy.key -out envoy.crt -days 365 -nodes
openssl req -x509 -newkey rsa:2048 -keyout service1.key -out service1.crt -days 365 -nodes

2. 配置 Envoy

接下来，我们需要配置 Envoy 以使用 TLS 验证。在 Envoy 配置文件中，添加以下内容：

listeners:
  - name: listener_0
    address:
      socket_address:
        address: 0.0.0.0
        port_value: 8080
    filter_chains:
      - filters:
          - name: envoy.tls_inspector
          typed_config:
            "@type": type.googleapis.com/envoy.extensions.filters.listener.tls_inspector.v3.TlsInspector
            server: true
          - name: envoy.tls_auth
          typed_config:
            "@type": type.googleapis.com/envoy.extensions.filters.listener.tls_auth.v3.TlsAuth
            static_downstream_config:
              validation_context_sds:
                resource_api_version: V3
                sds_config:
                  ads: {}
                  resource_names: ["envoy"]

3. 配置微服务

同样，我们需要配置微服务以使用 TLS 验证。在微服务配置文件中，添加以下内容：

server:
  ssl:
    certificate: /path/to/service1.crt
    key: /path/to/service1.key

4. 启动 Envoy 和微服务

最后，启动 Envoy 和微服务。确保 Envoy 和微服务都使用 TLS 验证配置。

5. 验证 TLS 验证

可以使用以下命令验证 TLS 验证是否成功：

curl -k https://localhost:8080

如果收到以下消息，则表示 TLS 验证已成功：

<!DOCTYPE html>
<html>
<head>
  
</head>
<body>
  <h1>Welcome to nginx!</h1>
</body>
</html>

故障排除

如果 TLS 验证失败，可以尝试以下步骤进行故障排除：

  • 检查证书是否生成正确。
  • 确保 Envoy 和微服务都使用正确的证书。
  • 检查 Envoy 配置文件是否正确。
  • 检查微服务配置文件是否正确。
  • 尝试重新启动 Envoy 和微服务。

享受 TLS 验证带来的安全保障

通过使用 Envoy 开启 TLS 验证，我们可以有效地提升微服务之间的通信安全性，防止中间人攻击和身份欺骗。TLS 验证为微服务提供了强有力的安全保障，确保在分布式系统中安全高效地交换数据。