Eureka實戰-5【啟用https】_ZenDei技術網路在線

上一篇主要說的是開啟http basic認證，從安全形度來講，基於base64編碼，容易被抓包後破解，在公網中很不安全，本文詳談如何在eureka server和eureka client中開啟https。公共依賴pom文件 1、eureka server工程 1.1、eureka server工 ...

上一篇主要說的是開啟http basic認證，從安全形度來講，基於base64編碼，容易被抓包後破解，在公網中很不安全，本文詳談如何在eureka server和eureka client中開啟https。

公共依賴pom文件

<parent>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-parent</artifactId>
        <version>2.0.3.RELEASE</version>
        <relativePath/>
</parent>

<properties>
        <project.build.sourceEncoding>UTF-8</project.build.sourceEncoding>
        <project.reporting.outputEncoding>UTF-8</project.reporting.outputEncoding>
        <java.version>1.8</java.version>
        <spring-cloud.version>Finchley.RELEASE</spring-cloud.version>
</properties>

<dependencyManagement>
        <dependencies>
            <dependency>
                <groupId>org.springframework.cloud</groupId>
                <artifactId>spring-cloud-dependencies</artifactId>
                <version>${spring-cloud.version}</version>
                <type>pom</type>
                <scope>import</scope>
            </dependency>
        </dependencies>
</dependencyManagement>

1、eureka server工程

1.1、eureka server工程pom：

<!--加上文章頭部的公共依賴-->

<dependencies>
        <dependency>
            <groupId>org.springframework.cloud</groupId>
            <artifactId>spring-cloud-starter-netflix-eureka-server</artifactId>
        </dependency>
</dependencies>

<build>
        <plugins>
            <plugin>
                <groupId>org.springframework.boot</groupId>
                <artifactId>spring-boot-maven-plugin</artifactId>
            </plugin>
        </plugins>
</build>

1.2、eureka server工程啟動類：

import org.springframework.boot.SpringApplication;
import org.springframework.boot.autoconfigure.SpringBootApplication;
import org.springframework.cloud.netflix.eureka.server.EnableEurekaServer;

@SpringBootApplication
@EnableEurekaServer
public class EurekaServerApplication {

    public static void main(String[] args) {
        SpringApplication.run(EurekaServerApplication.class, args);
    }
}

1.3、生成證書

a、生成server工程的證書，使用命令行工具，執行下麵的指令：

keytool -genkeypair -alias server -storetype PKCS12 -keyalg RSA -keysize 2048 -keystore server.p12 -validity 3650
輸入密鑰庫口令:
再次輸入新口令:
您的名字與姓氏是什麼?
  [Unknown]:  spring
您的組織單位名稱是什麼?
  [Unknown]:  spring
您的組織名稱是什麼?
  [Unknown]:  spring
您所在的城市或區功能變數名稱稱是什麼?
  [Unknown]:  spring
您所在的省/市/自治區名稱是什麼?
  [Unknown]:  spring
該單位的雙字母國家/地區代碼是什麼?
  [Unknown]:  spring
CN=spring, OU=spring, O=spring, L=spring, ST=spring, C=spring是否正確?
  [否]:  y

b、同樣的方式生成client工程證書，執行下麵的指令：

keytool -genkeypair -alias client -storetype PKCS12 -keyalg RSA -keysize 2048 -keystore client.p12 -validity 3650
//。。。同樣需要設置密碼，回答上面的那些問題

c、分別導出2個p12證書，執行指令：

keytool -export -alias server -file server.crt --keystore server.p12
輸入密鑰庫口令: 這裡的密碼是生成server證書時設置的密碼
存儲在文件 <server.crt> 中的證書

keytool -export -alias client -file client.crt --keystore client.p12
輸入密鑰庫口令: 這裡的密碼是生成client證書時設置的密碼
存儲在文件 <client.crt> 中的證書

d、將server.crt文件導入client.p12證書中，使client端信任server的證書，執行如下指令

keytool -import -alias server -file server.crt -keystore client.p12
輸入密鑰庫口令: 這裡的密碼是生成client證書密碼，密碼錯誤會提示如下信息:
【密碼錯誤時提示的信息：keytool 錯誤: java.io.IOException: keystore password was incorrect】

所有者: CN=spring, OU=spring, O=spring, L=spring, ST=spring, C=spring
發佈者: CN=spring, OU=spring, O=spring, L=spring, ST=spring, C=spring
序列號: 2b87a269
有效期為 Fri Oct 04 20:11:07 CST 2019 至 Mon Oct 01 20:11:07 CST 2029
證書指紋:
     MD5:  EF:A3:6B:32:DE:8F:E4:34:46:E6:0D:48:B9:8F:B8:7E
     SHA1: AE:42:78:14:D8:6B:B2:E9:46:F4:76:E8:D9:D0:51:E0:3A:E6:C9:2E
     SHA256: 54:6D:93:7E:B3:D3:C4:49:87:84:9D:46:66:B1:B8:1B:95:5B:DC:05:9A:8A:A4:DF:43:E4:A7:A7:4A:81:F7:B0
簽名演算法名稱: SHA256withRSA
主體公共密鑰演算法: 2048 位 RSA 密鑰
版本: 3

擴展:

#1: ObjectId: 2.5.29.14 Criticality=false
SubjectKeyIdentifier [
KeyIdentifier [
0000: 6C 1A E4 01 EB 84 0B C2   90 97 81 3D DB 0D C3 F1  l..........=....
0010: 4A FB 2A F4                                        J.*.
]
]

是否信任此證書? [否]:  y
證書已添加到密鑰庫中

e、將client.crt文件導入server.p12文件，使server服務信任client的證書，執行如下指令：

keytool -import -alias client -file client.crt -keystore server.p12
輸入密鑰庫口令: 這裡的密碼是生成server證書密碼
所有者: CN=cloud, OU=cloud, O=cloud, L=cloud, ST=cloud, C=cloud
發佈者: CN=cloud, OU=cloud, O=cloud, L=cloud, ST=cloud, C=cloud
序列號: 6ea2a01
有效期為 Fri Oct 04 20:27:38 CST 2019 至 Mon Oct 01 20:27:38 CST 2029
證書指紋:
     MD5:  E9:22:2C:8D:C4:08:27:AD:02:75:93:31:C2:17:35:8E
     SHA1: BB:B0:9A:3A:98:43:5E:02:FC:8A:BC:85:33:DD:82:4A:4E:DF:3A:5C
     SHA256: 20:96:61:27:D1:CA:55:E5:B6:0E:41:CA:BC:84:F8:8F:1F:D8:25:87:10:50:90:E3:BC:12:39:35:74:16:4A:B3
簽名演算法名稱: SHA256withRSA
主體公共密鑰演算法: 2048 位 RSA 密鑰
版本: 3

擴展:

#1: ObjectId: 2.5.29.14 Criticality=false
SubjectKeyIdentifier [
KeyIdentifier [
0000: 91 E6 46 EF 4C 9E 88 B1   2F 63 12 4B 39 53 9D 32  ..F.L.../c.K9S.2
0010: EF 0F 42 F9                                        ..B.
]
]

是否信任此證書? [否]:  y
證書已添加到密鑰庫中

1.4、將生成的server.p12、server.crt、client.crt三個文件放在eureka server工程resources目錄下。

1.5、添加eureka server工程相關resources配置文件

application-https.yml：

server:
  port: 8766
  ssl:
    enabled: true
    key-store: classpath:server.p12
    key-store-password: hello2019 #生成server證書時設置的密碼
    key-store-type: PKCS12
    key-alias: server
eureka:
  instance:
    hostname: localhost
    securePort: ${server.port}
    securePortEnabled: true
    nonSecurePortEnabled: false
    homePageUrl: https://${eureka.instance.hostname}:${server.port}/
    statusPageUrl: https://${eureka.instance.hostname}:${server.port}/
  client:
    registerWithEureka: false
    fetchRegistry: false
    serviceUrl:
      defaultZone: https://${eureka.instance.hostname}:${server.port}/eureka/
  server:
      waitTimeInMsWhenSyncEmpty: 0
      enableSelfPreservation: false

application.yml：

spring:
  profiles:
    active: https

1.6、啟動eureka server工程，執行指令：

mvn spring-boot:run -Dspring.profiles.active=https

訪問：https://localhost:8766

由此看出確實使用的是https，不妨在試一下訪問：http://localhost:8766

2、eureka client工程

2.1、client工程pom文件：

<!--加上文章頭部的公共依賴-->

<dependencies>
        <dependency>
            <groupId>org.apache.httpcomponents</groupId>
            <artifactId>httpclient</artifactId>
            <version>4.5.5</version>
        </dependency>
        <dependency>
            <groupId>org.springframework.cloud</groupId>
            <artifactId>spring-cloud-starter-netflix-eureka-client</artifactId>
        </dependency>
</dependencies>

<build>
        <plugins>
            <plugin>
                <groupId>org.springframework.boot</groupId>
                <artifactId>spring-boot-maven-plugin</artifactId>
            </plugin>
        </plugins>
</build>

2.2、client工程啟動類：

import org.springframework.boot.SpringApplication;
import org.springframework.boot.autoconfigure.SpringBootApplication;
import org.springframework.cloud.netflix.eureka.EnableEurekaClient;

@SpringBootApplication
@EnableEurekaClient
public class EurekaClientApplication {

    public static void main(String[] args) {
        SpringApplication.run(EurekaClientApplication.class, args);
    }
}

2.2、client工程resources配置文件

先將client.crt、client.p12、server.crt三個文件放在client工程的resources目錄下。

application.yml：

spring:
  profiles:
    active: https

application-https.yml：

server:
  port: 8081

spring:
  application:
    name: client1

eureka:
  client:
    securePortEnabled: true
    ssl:
      key-store: client.p12
      key-store-password: hello2020
    serviceUrl:
      defaultZone: https://localhost:8766/eureka/

這裡沒有指定整個應用實例啟用https，僅僅是開啟訪問eureka server的https配置，自定義eureka.client.ssl.key-store和eureka.client.ssl.key-store-password兩個屬性，指定client訪問server的sslContext配置，需要在代碼里指定DiscoveryClient.DiscoveryClientOptionalArgs：

import com.netflix.discovery.DiscoveryClient;
import com.netflix.discovery.shared.transport.jersey.EurekaJerseyClientImpl;
import org.apache.http.ssl.SSLContextBuilder;
import org.springframework.beans.factory.annotation.Value;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.context.annotation.Profile;

import javax.net.ssl.SSLContext;
import java.io.IOException;
import java.security.KeyManagementException;
import java.security.KeyStoreException;
import java.security.NoSuchAlgorithmException;
import java.security.cert.CertificateException;

/**
 * 指定client訪問server的sslContext配置
 */
@Profile({"https"})
@Configuration
public class EurekaHttpsClientConfig {

    @Value("${eureka.client.ssl.key-store}")
    String keyStoreFileName;

    @Value("${eureka.client.ssl.key-store-password}")
    String keyStorePassword;

    @Bean
    public DiscoveryClient.DiscoveryClientOptionalArgs discoveryClientOptionalArgs() throws CertificateException, NoSuchAlgorithmException, KeyStoreException, IOException, KeyManagementException {
        EurekaJerseyClientImpl.EurekaJerseyClientBuilder builder = new EurekaJerseyClientImpl.EurekaJerseyClientBuilder();
        builder.withClientName("eureka-https-client");
        SSLContext sslContext = new SSLContextBuilder()
                .loadTrustMaterial(
                        this.getClass().getClassLoader().getResource(keyStoreFileName),keyStorePassword.toCharArray()
                )
                .build();
        builder.withCustomSSL(sslContext);

        builder.withMaxTotalConnections(10);
        builder.withMaxConnectionsPerHost(10);

        DiscoveryClient.DiscoveryClientOptionalArgs args = new DiscoveryClient.DiscoveryClientOptionalArgs();
        args.setEurekaJerseyClient(builder.build());
        return args;
    }
}

2.3、執行指令，啟動client工程：

 mvn spring-boot:run -Dspring.profiles.active=https

訪問https://localhost:8766/

可以看到client工程已經成功註冊到了server服務上。