使用 pika 与 RabbitMQ 的 TLS 加密连接

Question

我发现无法在客户端使用 python 的 pika 库与 RabbitMQ 代理建立加密连接。我的出发点是 pika 教程示例here，但我无法让它工作。我进行了如下操作。

(1) RabbitMQ 配置文件为：

listeners.tcp.default = 5672
listeners.ssl.default = 5671

ssl_options.verify               = verify_peer
ssl_options.fail_if_no_peer_cert = false
ssl_options.cacertfile           = /etc/cert/tms.crt
ssl_options.certfile             = /etc/cert/tms.crt
ssl_options.keyfile              = /etc/cert/tmsPrivKey.pem

auth_mechanisms.1 = PLAIN
auth_mechanisms.2 = AMQPLAIN
auth_mechanisms.3 = EXTERNAL

(2) rabbitmq-auth-mechanism-ssl 插件 使用以下命令启用：

rabbitmq-plugins enable rabbitmq_auth_mechanism_ssl

通过检查启用状态确认成功启用：rabbitmq-plugins list。

(3) TLS 证书 的正确性已通过使用 here 所述的 openssl 工具进行验证。

(4) 建立连接的客户端程序是：

#!/usr/bin/env python
import logging
import pika
import ssl
from pika.credentials import ExternalCredentials

logging.basicConfig(level=logging.INFO)
context = ssl.create_default_context(
                        cafile="/Xyz/sampleNodeCert/tms.crt")
context.load_cert_chain("/Xyz/sampleNodeCert/node.crt",
                        "/Xyz/sampleNodeCert/nodePrivKey.pem")

ssl_options = pika.SSLOptions(context, '127.0.0.1')
conn_params = pika.ConnectionParameters(host='127.0.0.1',
                                        port=5671,
                                        ssl_options=ssl_options,
                                        credentials=ExternalCredentials())

with pika.BlockingConnection(conn_params) as conn:
     ch = conn.channel()
     ch.queue_declare("foobar")
     ch.basic_publish("", "foobar", "Hello, world!")
     print(ch.basic_get("foobar"))

(5) 客户端程序失败并显示以下错误消息：

pika.exceptions.ProbableAuthenticationError: ConnectionClosedByBroker: (403) 'ACCESS_REFUSED - Login was refused using authentication mechanism EXTERNAL. For details see the broker logfile.'

(6) RabbitMQ 代理中的日志消息为：

2019-10-15 20:17:46.028 [info] <0.642.0> accepting AMQP connection <0.642.0> (127.0.0.1:48252 -> 127.0.0.1:5671)
2019-10-15 20:17:46.032 [error] <0.642.0> Error on AMQP connection <0.642.0> (127.0.0.1:48252 -> 127.0.0.1:5671, state: starting):
EXTERNAL login refused: user 'CN=www.node.com,O=Node GmbH,L=NodeTown,ST=NodeProvince,C=DE' - invalid credentials
2019-10-15 20:17:46.043 [info] <0.642.0> closing AMQP connection <0.642.0> (127.0.0.1:48252 -> 127.0.0.1:5671)

(7) 进行此测试的环境是在 Erlang 22.0.7 上使用 RabbitMQ 3.7.17 的 Ubuntu 18.04。客户端使用python3版本3.6.8。

问题：有人知道我的测试失败的原因吗？在哪里可以找到使用 pika 设置到 RabbitMQ 的加密连接的完整工作示例？

注意：我熟悉 this post，但帖子中的提示都没有帮助到我。

Answer 1

在研究了上面Luke Bakken 提供的link 之后，我现在可以回答我自己的问题了。相对于我的原始示例的主要更改是，我使用无密码用户配置了 RabbitMQ 代理，该用户与服务器和客户端上的 TLS 证书的 CN 字段具有相同的名称。为了说明，下面我再详细介绍一下我的例子：

(1)RabbitMQ配置文件为：

listeners.tcp.default = 5672
listeners.ssl.default = 5671

ssl_cert_login_from = common_name

ssl_options.verify               = verify_peer
ssl_options.fail_if_no_peer_cert = true
ssl_options.cacertfile           = /etc/cert/tms.crt
ssl_options.certfile             = /etc/cert/tms.crt
ssl_options.keyfile              = /etc/cert/tmsPrivKey.pem

auth_mechanisms.1 = EXTERNAL
auth_mechanisms.2 = PLAIN
auth_mechanisms.3 = AMQPLAIN

请注意，使用ssl_cert_login_from 配置选项，我要求从 TLS 证书的“通用名称”(CN) 字段中获取 RabbitMQ 帐户的用户名。

(2) 使用以下命令启用 rabbitmq-auth-mechanism-ssl 插件：

rabbitmq-plugins enable rabbitmq_auth_mechanism_ssl

可以通过命令rabbitmq-plugins list查看启用状态来确认启用成功。

(3) 签名的 TLS 证书 必须具有彼此相等的颁发者和主题 CN 字段，并且等于 RabbitMQ 代理节点的主机名。在我的例子中，检查 RabbitMQ 日志文件（在/var/log/rabbitmq 中）显示代理正在一个名为：rabbit@pnp-vm2 的节点上运行。因此主机名是pnp-vm2。为了检查客户端证书的 CN 字段，我使用以下命令：

ap@pnp-vm2:openssl x509 -noout -text -in /etc/cert/node.crt | fgrep CN
        Issuer: C = CH, ST = CH, L = Location, O = Organization GmbH, CN = pnp-vm2
        Subject: C = DE, ST = NodeProvince, L = NodeTown, O = Node GmbH, CN = pnp-vm2

如您所见，Issuer CN 字段和 Subject CN 字段都等于：“pnp-vm2”（这是 RabbitMQ 代理的主机名，见上文）。我尝试将此名称仅用于两个 CN 字段之一，但无法建立与代理的连接。在我的测试环境中，创建具有相同 CN 名称的客户端证书很容易，但在操作环境中，这可能很难做到。另外，我不太明白这种限制的原因：它是一个错误还是一个功能？它起源于我正在使用的特定 RabbitMQ 库（python 的 pika）还是 AMQP 协议？这些问题可能值得一个专门的帖子。

(4) 建立连接的客户端程序是：

#!/usr/bin/env python
import logging
import pika
import ssl
from pika.credentials import ExternalCredentials

logging.basicConfig(level=logging.INFO)
context = ssl.create_default_context(cafile="/home/ap/RocheTe/cert/sampleNodeCert/tms.crt")
context.load_cert_chain("/home/ap/RocheTe/cert/sampleNodeCert/node.crt",
                        "/home/ap/RocheTe/cert/sampleNodeCert/nodePrivKey.pem")

ssl_options = pika.SSLOptions(context, 'pnp-vm2')
conn_params = pika.ConnectionParameters(host='a.b.c.d',
                                        port=5671,
                                        ssl_options=ssl_options,
                                        credentials=ExternalCredentials(),
                                        heartbeat=0)

with pika.BlockingConnection(conn_params) as conn:
    ch = conn.channel()
    ch.queue_declare("foobar")
    ch.basic_publish("", "foobar", "Hello, world!")
    print(ch.basic_get("foobar"))
    input("Press Enter to continue...")

这里，“a.b.c.d”是运行 RabbitMQ 代理的机器的 IP 地址。

(5) 进行此测试的环境是在 Erlang 22.0.7 上使用 RabbitMQ 3.7.17 的 Ubuntu 18.04。客户端使用python3版本3.6.8。

最后一句警告：使用此配置，我能够建立与 RabbitMQ 代理的安全连接，但由于我仍然不明白的原因，无法启动 RabbitMQ Web 管理工具...