NGINX 基本位置子路径，每个子路径都有不同的 TLS 证书和密钥

Question

问题：我们的 NGINX 实现有一个用于几种不同操作类型的基本位置，例如/分析，/拓扑，...；每个都有自己的 access_by_lua_file，它会打开一个传入的令牌，其中包含必须验证和处理的一些内容，包括一个新的右侧路径，并带有自己的证书、密钥和 ca。我们遇到的问题是似乎没有办法对 proxy_ssl_certificate、proxy_ssl_certificate_key 和 proxy_ssl_trusted_certificate 变量进行通配符，因为它们需要静态文件路径。

问题：有没有办法动态配置证书和密钥，即使我们受到性能影响？我们知道以下限制，但坦率地说，互联网上尚未出现任何解决方法。

缺乏支持有两个原因：

1. Nginx 需要在启动时加载整个 SSL 服务器配置 时间，因此当证书或密钥不存在时会引发错误 存在。
2. Nginx SSL 配置解析器不扩展用户定义 变量，所以它需要一个相对或绝对路径。

Answer 1

以下是我在一个 OpenResty 模块中使用的一系列 SSL API 调用。

ssl.clear_certs()
ssl.cert_pem_to_der()
ssl.set_der_cert()
ssl.priv_key_pem_to_der()
ssl.set_der_priv_key()

其实和https://github.com/openresty/lua-resty-core/blob/master/lib/ngx/ssl.md#synopsis上的一模一样

Answer 2

对这个问题的建议答案似乎不起作用。代码如下：

if cert ~= nil and key ~= nil then

    -- clear the fallback certificates and private keys that are statically
    -- set by the ssl_certificate and ssl_certificate_key in proxy.conf
    -- directives
    ngx.log(ngx.DEBUG, 'Clearing fallback certificates');
    local ok, err = ssl.clear_certs()
    if not ok then
        ngx.log(ngx.ERR, "failed to clear existing (fallback) certificates")
        return ngx.exit(ngx.ERROR)
    end

    ngx.log(ngx.DEBUG, 'Convert private key pem to DER format');
    -- key already contains the private key as provided in token
    local client_key, err = ssl.priv_key_pem_to_der(key);
    if not client_key then
        ngx.log(ngx.ERR, "failed to convert PEM priv key to DER: ", err)
        return
    end

    ngx.log(ngx.DEBUG, 'Set private key DER');
    ok, err = ssl.set_der_priv_key(client_key)
    if not ok then
        ngx.log(ngx.ERR, "failed to set DER priv key: ", err)
        return
    end

    ngx.log(ngx.DEBUG, 'Convert certificate pem to DER format');
    -- cert already contains the private key as provided in token
    local client_cert, err = ssl.cert_pem_to_der(cert);
    if not client_cert then
        ngx.log(ngx.ERR, "failed to convert PEM cert to DER: ", err)
        return
    end

    ngx.log(ngx.DEBUG, 'Set certificate DER');
    ok, err = ssl.set_der_cert(client_cert)
    if not ok then
        ngx.log(ngx.ERR, "failed to set DER cert: ", err)
        return
    end
end


ngx.log(ngx.INFO, 'Passing request to: ', ngx.var.target)

输出：

2018/03/06 13:55:31 [debug] 31#0: *12 [lua] analytics_access.lua:270: Clearing fallback certificates
2018/03/06 13:55:31 [debug] 31#0: *12 [lua] analytics_access.lua:277: Convert private key pem to DER format
2018/03/06 13:55:31 [debug] 31#0: *12 [lua] analytics_access.lua:285: Set private key DER
2018/03/06 13:55:31 [debug] 31#0: *12 [lua] analytics_access.lua:292: Convert certificate pem to DER format
2018/03/06 13:55:31 [debug] 31#0: *12 [lua] analytics_access.lua:300: Set certificate DER
2018/03/06 13:55:31 [info] 31#0: *12 [lua] analytics_access.lua:309: Passing request to: https://blah blah...

在控制台上： 400 错误请求 未发送所需的 SSL 证书