Go socket服务器使用TLS

TLS(以前称为SSL)最著名的功能是启用HTTPS，HTTP的安全版本。然而，正如TLS的名字(传输层安全)所暗示的那样，它实际上比HTTP更深入。TLS被认为是TCP的安全版本；换句话说，只要是通过套接字来实现通信的协议都可以使用TLS来实现安全通信，比如gRPC也可以基于TLS来实现安全通信。

在之前的一篇文章中，我们已经看到了如何使用TLS在Go中设置HTTPS服务器和客户端。本文，将展示如何创建加密的套接字服务器，它可以作为其他网络协议的基础。这篇文章的所有代码都可以在GitHub上找到。

TLS 套接字服务器端

下面是一个使用TLS的简单socket服务器:

func main() {
  port := flag.String("port", "4040", "listening port")
  certFile := flag.String("cert", "cert.pem", "certificate PEM file")
  keyFile := flag.String("key", "key.pem", "key PEM file")
  flag.Parse()

  cert, err := tls.LoadX509KeyPair(*certFile, *keyFile)
  if err != nil {
    log.Fatal(err)
  }
  config := &tls.Config{Certificates: []tls.Certificate{cert}}

  log.Printf("listening on port %s\n", *port)
  l, err := tls.Listen("tcp", ":"+*port, config)
  if err != nil {
    log.Fatal(err)
  }
  defer l.Close()

  for {
    conn, err := l.Accept()
    if err != nil {
      log.Fatal(err)
    }
    log.Printf("accepted connection from %s\n", conn.RemoteAddr())

    go func(c net.Conn) {
      io.Copy(c, c)
      c.Close()
      log.Printf("closing connection from %s\n", conn.RemoteAddr())
    }(conn)
  }
}

上面的代码接收来自客户端的多个(并发)连接，并返回客户端发送的所有数据，直到客户端套接字关闭。它与非tls服务器的代码非常相似，除了net.Listen被tls.Listen取代了，后者需要tls.Config(已经在前一篇文章中遇到过)。可以使用前文中描述的证书生成工具，或者mkcert工具为这个服务器生成一个证书/密钥对。

TLS套接字客户端

func main() {
  port := flag.String("port", "4040", "port to connect")
  certFile := flag.String("certfile", "cert.pem", "trusted CA certificate")
  flag.Parse()

  cert, err := os.ReadFile(*certFile)
  if err != nil {
    log.Fatal(err)
  }
  certPool := x509.NewCertPool()
  if ok := certPool.AppendCertsFromPEM(cert); !ok {
    log.Fatalf("unable to parse cert from %s", *certFile)
  }
  config := &tls.Config{RootCAs: certPool}

  conn, err := tls.Dial("tcp", "localhost:"+*port, config)
  if err != nil {
    log.Fatal(err)
  }

  _, err = io.WriteString(conn, "Hello simple secure Server\n")
  if err != nil {
    log.Fatal("client write error:", err)
  }
  if err = conn.CloseWrite(); err != nil {
    log.Fatal(err)
  }

  buf := make([]byte, 256)
  n, err := conn.Read(buf)
  if err != nil && err != io.EOF {
    log.Fatal(err)
  }

  fmt.Println("client read:", string(buf[:n]))
  conn.Close()
}

同样，与非tls客户端的区别只是将net.Dial替换成tls.Dial，并附带tls.Config配置，添加客户端可以信任的证书(这可以是服务器自己的证书，也可以是权威机构签署的CA证书等等)。

查看服务器证书

下面是一个简单的程序，可以用来检查任何服务器的证书:

func main() {
  addr := flag.String("addr", "localhost:4040", "dial address")
  flag.Parse()

  cfg := tls.Config{}
  conn, err := tls.Dial("tcp", *addr, &cfg)
  if err != nil {
    log.Fatal("TLS connection failed: " + err.Error())
  }
  defer conn.Close()

  certChain := conn.ConnectionState().PeerCertificates
  for i, cert := range certChain {
    fmt.Println(i)
    fmt.Println("Issuer:", cert.Issuer)
    fmt.Println("Subject:", cert.Subject)
    fmt.Println("Version:", cert.Version)
    fmt.Println("NotAfter:", cert.NotAfter)
    fmt.Println("DNS names:", cert.DNSNames)
    fmt.Println("")
  }
}

给定一个IP地址，该程序与对应服务端建立TLS连接，并打印它使用的证书。我们可以先在自己的TLS套接字服务器上试试；注意，该程序没有任何预信任证书，因此它将拒绝自签名证书。但是，如果我们使用mkcert为服务器生成证书，它就可以工作了。
打开终端，使用mkcert生成的证书来运行TLS套接字服务器:

$ mkcert localhost

Created a new certificate valid for the following names ?
 - "localhost"

The certificate is at "./localhost.pem" and the key at "./localhost-key.pem" ✅

It will expire on 7 July 2023 ?

$ go run tls-socket-server.go -cert localhost.pem -key localhost-key.pem
2021/04/07 06:27:20 listening on port 4040

在另一个终端，运行前面的代码：

$ go run tls-dial-port.go -addr localhost:4040
0
Issuer: CN=mkcert eliben@salami (Eli Bendersky),OU=eliben@salami (Eli Bendersky),O=mkcert development CA
Subject: OU=eliben@salami (Eli Bendersky),O=mkcert development certificate
Version: 3
NotAfter: 2023-07-07 13:27:12 +0000 UTC
DNS names: [localhost]

可以看到生成的证书mkcert。由于mkcert将此证书添加到系统根存储，因此tls.Dial默认使用该证书。

可以将该程序访问其他公共网站的443端口(HTTPS的默认端口)；例如:

➜  go run tls-dial-port.g -addr baidu.com:443 
0
Issuer: CN=DigiCert Secure Site Pro CN CA G3,O=DigiCert Inc,C=US
Subject: CN=www.baidu.cn,O=BeiJing Baidu Netcom Science Technology Co.\, Ltd,ST=北京市,C=CN
Version: 3
NotAfter: 2022-02-24 23:59:59 +0000 UTC
DNS names: [www.baidu.cn baidu.cn baidu.com baidu.com.cn w.baidu.com ww.baidu.com www.baidu.com.cn www.baidu.com.hk www.baidu.hk www.baidu.net.au www.baidu.net.ph www.baidu.net.tw www.baidu.net.vn wwww.baidu.com wwww.baidu.com.cn]

1
Issuer: CN=DigiCert Global Root CA,OU=www.digicert.com,O=DigiCert Inc,C=US
Subject: CN=DigiCert Secure Site Pro CN CA G3,O=DigiCert Inc,C=US
Version: 3
NotAfter: 2030-03-13 12:00:48 +0000 UTC
DNS names: []