NGINX反向代理与SSL和Asp.NET核心API

Question

我目前正在尝试为客户端界面-服务器交互构建一个API。我已经决定使用ASP.NET核心作为API，Nginx作为托管平台(在Ubuntu 18.04上)。由于ASP.NET使用Kestrel，我们设置了一个反向代理，将请求从Nginx转发到Kestrel——也就是托管API的服务器。我们在NGINX服务器上设置了SSL，但是它没有在Kestrel服务器上设置。

简单地说，我不知道如何在 Kestrel 服务器上使用 NGINX 端的另一层 SSL 设置 SSL。我该怎么做？

型号：客户——

产出：SSL_PROTOCOL_ERROR

临时解决方案：在链接中使用端口为5000的HTTP。--但是，没有错误，数据是不安全的。

最佳解决方案：在链接中使用不带端口5000的HTTPS。数据是安全的。

NGINX配置:

    if ($host = api.OURSITENAME.co) {
        return 301 https://$host$request_uri;
    } # managed by Certbot


    listen 80;
    server_name api.OURSITENAME.co;
    return 301 https://$server_name$request_uri;


}

server {
    listen 443 ssl http2;
    include /etc/nginx/proxy_params;
    server_name api.OURSITENAME.co;
    access_log /var/log/nginx/api.access.log;
    error_log /var/log/nginx/api.error.log error;
    # SSL Configuration
    ssl_certificate /etc/letsencrypt/live/api.OURSITENAME.co/fullchain.pem; # managed by Certbot
    ssl_certificate_key /etc/letsencrypt/live/api.OURSITENAME.co/privkey.pem; # managed by Certbot
    proxy_http_version 1.1;
    proxy_cache_bypass $http_upgrade;
    proxy_set_header Connection $http_connection;
    proxy_set_header Upgrade $http_upgrade;

    location / {
        proxy_pass         http://172.18.0.2:5000; <-- Docker Container. Can easily be switched out with localhost if we want to run on dotnet directly.
    }
}

Answer 1

这只是因为Kestrel没有配置为处理HTTPS请求。快速浏览MS Docs向您展示如何操作。

您可以使用侦听选项及其各种扩展来指定 SSL 证书和其他配置

webBuilder.ConfigureKestrel(serverOptions =>
{
    serverOptions.ConfigureHttpsDefaults(listenOptions =>
    {
        // certificate is an X509Certificate2
        listenOptions.ServerCertificate = certificate;
    });
});

此外，如果您从您的Program.cs中使用CreateDefaultBuilder，那么您可以从appsettings.json配置您的SSL/HTTPS，因为CreateDefaultBuilder默认情况下调用配置（上下文.配置. Get部分（"Kestrel"））来加载Kestrel配置。突出Kestrel配置的示例配置文件（来自MS Docs）如下所示：

{
  "Kestrel": {
    "Endpoints": {
      "Http": {
        "Url": "http://localhost:5000"
      },
      "HttpsInlineCertFile": {
        "Url": "https://localhost:5001",
        "Certificate": {
          "Path": "<path to .pfx file>",
          "Password": "<certificate password>"
        }
      },
      "HttpsInlineCertStore": {
        "Url": "https://localhost:5002",
        "Certificate": {
          "Subject": "<subject; required>",
          "Store": "<certificate store; required>",
          "Location": "<location; defaults to CurrentUser>",
          "AllowInvalid": "<true or false; defaults to false>"
        }
      },
      "HttpsDefaultCert": {
        "Url": "https://localhost:5003"
      },
      "Https": {
        "Url": "https://*:5004",
        "Certificate": {
          "Path": "<path to .pfx file>",
          "Password": "<certificate password>"
        }
      }
    },
    "Certificates": {
      "Default": {
        "Path": "<path to .pfx file>",
        "Password": "<certificate password>"
      }
    }
  }
}

如果您需要更多信息，请务必访问文档。

然而，在我看来，我看不出双层SSL保护有什么好处。我可以立即注意到的一个缺点是加密/解密导致的一些延迟。反向代理上的单层SSL应该绰绰有余。

Answer 2

据我了解，当您使用 HTTP 直接在端口 5000 上访问应用程序时，您会收到 SSL 错误。即使您不使用HTTPS。

如果您有< code >应用程序。use hsts()；和/或< code >应用程序。usehttps redirection()；在您的启动代码中，它将使用HTTPS。

如果你让nginx处理SSL，那么你可以从你的应用程序启动中删除代码.cs

典型启动代码：

public void Configure(IApplicationBuilder app, IHostingEnvironment env)
{
    if (env.IsDevelopment())
    {
        app.UseDeveloperExceptionPage();
        app.UseDatabaseErrorPage();
    }
    else // Production
    {
        app.UseExceptionHandler("/Error");
        // Remove to use HTTP only
        app.UseHsts(); // HTTPS Strict mode
    }

    // Remove to use HTTP only
    app.UseHttpsRedirection(); // Redirects HTTP to HTTPS
    app.UseStaticFiles();
    app.UseCookiePolicy();

    app.UseAuthentication();

    app.UseMvc();

}

关于在dotnet核心中实施SSL的文档