Неправильный сертификат от EKS кластера nginx SSL терминатор - PullRequest
0 голосов
/ 14 июня 2019

У меня странная проблема с безопасным подключением веб-маркета к приложению с весенней загрузкой (с запущенной конечной точкой WSS).По сути, у меня есть клиент веб-маркета, который является частью моего производственного кода, и предполагается, что он подключается к конечной точке wss, доступной в кластере EKS, с помощью сертификата давайте шифровать.Однако по какой-то причине он не подключается и выдает исключение, указывающее «неверный путь сертификата».Я уверен, что я использовал правильный сертификат с обеих сторон.

После некоторых исследований я обнаружил, что EKS дает мне поддельный сертификат Kubernetes во время рукопожатия, а не шифровать сертификат по какой-то причине.И интересным фактом является то, что если я напишу простой клиент websoket вне моего производственного кода, я смогу подключиться к конечной точке с помощью сертификата давайте зашифруем.

К вашему сведению, я запускаю оба кода с моего ноутбука, поэтому среда JVM, хранилище сертификатов одинаковые.Кто-нибудь сталкивался с этой проблемой раньше, или вы не могли бы помочь мне с областями, где я должен начать расследование?

С помощью захвата провода я вижу ниже разницу в производственном запросе и моем примере запроса приложения, имя_сервера отсутствует в приложении prod,понятия не имею почему.production request

Sample App request

1 Ответ

0 голосов
/ 17 июня 2019

Эта проблема в основном возникает в Java 8. В некоторых конкретных случаях это происходит.В основном, если конечная точка websocket имеет один IP с несколькими именами хоста, то заголовок расширения имени хоста (SNI) должен быть предоставлен со стороны клиента, и если этого не произойдет, у вас могут возникнуть проблемы, такие как получение неправильного сертификата.

см: http://javabreaks.blogspot.com/2015/12/java-ssl-handshake-with-server-name.html?_sm_au_=iVVZj77NHqPn150Q

Я использовал эту ссылку для решения этой проблемы.По сути, мне пришлось использовать клиент websocket from и предоставить обертку фабрики сокетов сверху.

...