Локальный хост-символ SSL с Puma - PullRequest
Новая
       15

Локальный хост-символ SSL с Puma

0 голосов
/ 29 марта 2020

У меня есть приложение Rails 6.0 с Puma 4.3. Мне нужно настроить SSL-сертификат с подстановочными знаками, используя собственный домен. Я посмотрел на кучу разных ресурсов, но не могу заставить что-то работать правильно. Большинство всего, что я видел там, обслуживает установки без подстановочных знаков.

Вот мой config/puma.rb. Я пробовал текущие конфигурации, а также материал, который закомментирован. 

##
# Configure Puma server

require 'fileutils'
workers Integer(ENV.fetch('WEB_CONCURRENCY', 2))
threads_count = Integer(ENV.fetch('MAX_THREADS', 5))
threads threads_count, threads_count

key  = %w[. config ssl myapp-local.com.key].join('/')
crt = %w[. config ssl myapp-local.com.crt].join('/')
ssl_bind '127.0.0.1', '9292', {
  key:         key,
  cert:        crt,
  verify_mode: :peer
}
# if ENV['ENVIRONMENT'] == 'development'
#   unless File.exist?(key)
#     def generate_root_cert(root_key)
#       root_ca = OpenSSL::X509::Certificate.new
#       root_ca.version = 2 # cf. RFC 5280 - to make it a "v3" certificate
#       root_ca.serial = 0x0
#       root_ca.subject = OpenSSL::X509::Name.parse "/C=BE/O=A1/OU=A/CN=*.myapp-local.com"
#       root_ca.issuer = root_ca.subject # root CA's are "self-signed"
#       root_ca.public_key = root_key.public_key
#       root_ca.not_before = Time.now
#       root_ca.not_after = root_ca.not_before + 2 * 365 * 24 * 60 * 60 # 2 years validity
#
#       root_ca.sign(root_key, OpenSSL::Digest::SHA256.new)
#       root_ca
#     end
#
#     root_key = OpenSSL::PKey::RSA.new(2048)
#     file = File.new(key, "wb")
#     file.write(root_key)
#     file.close
#
#     root_cert = generate_root_cert(root_key)
#
#     file = File.new(cert, "wb")
#     file.write(root_cert)
#     file.close
#   end
#
#   ssl_bind '127.0.0.1', '9292', {
#     key:         key,
#     cert:        cert,
#     verify_mode: :peer
#   }
#
#   puts "Using local SSL cert..."
# end

preload_app!

rackup      DefaultRackup
port        ENV.fetch('PORT', 3000)
environment ENV.fetch('RACK_ENV', 'development')

on_worker_boot do
    ##
    # Force Scout Agent launch. Required because of use of nginx in Procfile
    ScoutApm::Agent.instance.start_background_worker
end

on_worker_fork { FileUtils.touch('/tmp/app-initialized') }

Я использую foreman. Вот мой Procfile.dev: 

redis: (ps aux | grep 6379 | grep redis | awk '{ print $2 }' | xargs kill -s SIGINT) && redis-server --port 6379
resque: rake resque:workers QUEUE='*' COUNT='5'
scheduler: rake resque:scheduler
web: puma

Тогда в /etc/hosts у меня есть: 

127.0.0.1   localhost
255.255.255.255 broadcasthost
::1             localhost
127.0.0.1 app.myapp-local.com

Когда я go до https://app.myapp-local.com:3000 я получаю ошибку ERR_SSL_PROTOCOL_ERROR от Chrome.

Я также пытался вручную создать сертификат, например: 

name=myapp-local.com
openssl req \
  -new \
  -newkey rsa:2048 \
  -sha256 \
  -days 3650 \
  -nodes \
  -x509 \
  -keyout $name.key \
  -out $name.crt \
  -config <(cat <<-EOF
  [req]
  distinguished_name = req_distinguished_name
  x509_extensions = v3_req
  prompt = no
  [req_distinguished_name]
  CN = $name
  [v3_req]
  keyUsage = keyEncipherment, dataEncipherment
  extendedKeyUsage = serverAuth
  subjectAltName = @alt_names
  [alt_names]
  DNS.1 = $name
  DNS.2 = *.$name
EOF
)

mv myapp-local.com.crt myapp-local.com.key config/ssl
sudo security add-trusted-cert -d -r trustRoot -k /Library/Keychains/System.keychain config/ssl/myapp-local.com.crt

У меня закончились идеи. Я не могу использовать другое имя хоста (например, lvh.me или localhost) из-за того, как настроено приложение, поэтому мне нужно, чтобы оно работало с *.myapp-local.com:3000. Любая помощь очень ценится!

ОБНОВЛЕНИЕ

Поэтому я изменил свой конфигурационный файл следующим образом: 

if ENV['ENVIRONMENT'] == 'development'
  key  = %w[. config ssl myapp-local.com.key].join('/')
  crt  = %w[. config ssl myapp-local.com.pem].join('/')
  ca   = "/Users/Daniel Bonnell/Library/Application\ Support/Certificate\ Authority/myapp/myapp.certAuthorityConfig"

  ssl_bind '127.0.0.1', '3000', {
    key:         key,
    cert:        crt,
    ca:          ca,
    verify_mode: :peer
  }
end

Теперь, когда я загружаю приложение, я посмотрите это в логах: 

17:12:45 web.1 | [68495] * Listening on ssl://127.0.0.1:3000?cert=./config/ssl/myapp-local.com.pem&key=./config/ssl/myapp-local.com.key&verify_mode=peer&no_tlsv1=false&no_tlsv1_1=false&ca=/Users/Daniel Bonnell/Library/Application Support/Certificate Authority/myapp/myapp.certAuthorityConfig
17:12:45 web.1 | [68495] * Listening on tcp://0.0.0.0:5300

Если я go до https://app.myapp-local.com:3000 Я вижу следующую ошибку: 

17:14:19 web.1 | 2020-03-28 17:14:19 -0500: SSL error, peer: 127.0.0.1, peer cert: /O=member: F4B00436-9C90-4941-B053-A83BCB633934 DD31B694-6F02-4C8D-98C2-640DABBEB3F8/CN=member: F4B00436-9C90-4941-B053-A83BCB633934 DD31B694-6F02-4C8D-98C2-640DABBEB3F8, #<Puma::MiniSSL::SSLError: OpenSSL certificate verification error: unable to get local issuer certificate - 20>

Если я go до https://app.myapp-local.com:5300 я вижу следующая ошибка: 

17:15:32 web.1 | 2020-03-28 17:15:32 -0500: HTTP parse error, malformed request (): #<Puma::HttpParserError: Invalid HTTP format, parsing fails.>

Я выполнил эти шаги , используя mkcert для создания сертификата, а затем я установил локальный CA в моей цепочке для ключей (MacOS).

1 Ответ

0 голосов
/ 29 марта 2020

Мне удалось заставить мою настройку работать правильно. Я думаю, что было две проблемы. Сначала я связывал SSL с портом 3000, а затем, связывая Puma с портом 3000, изменил port ENV.fetch('PORT', 3000) на port ENV.fetch('PORT', 3001). Во-вторых, я указывал на неправильный CA. Установка ниже, кажется, работает для меня сейчас. Я могу получить доступ к своему приложению через порт 3000 и больше не вижу эту досадную ошибку SSL. Надеюсь, это кому-нибудь поможет. Я потратил 10 часов, чтобы понять это. 100 

##
# Configure Puma server

require 'fileutils'
workers Integer(ENV.fetch('WEB_CONCURRENCY', 2))
threads_count = Integer(ENV.fetch('MAX_THREADS', 5))
threads threads_count, threads_count

# Note: Must generate an SSL certificate for local use.
# See: https://blog.filippo.io/mkcert-valid-https-certificates-for-localhost/
if ENV['ENVIRONMENT'] == 'development'
  key  = File.expand_path('./config/ssl/local_key.pem')
  crt  = File.expand_path('./config/ssl/local_cert.pem')
  ca   = File.expand_path('~/Library/Application Support/mkcert/rootCA.pem')

  ssl_bind '127.0.0.1', 3000, {
    key:         key,
    cert:        crt,
    ca:          ca,
    verify_mode: :peer
  }
end

preload_app!

rackup      DefaultRackup
port        ENV.fetch('PORT', 3001)
environment ENV.fetch('RACK_ENV', 'development')

on_worker_boot do
    ##
    # Force Scout Agent launch. Required because of use of nginx in Procfile
    ScoutApm::Agent.instance.start_background_worker
end

on_worker_fork { FileUtils.touch('/tmp/app-initialized') }
...