在pivotal cloud foundry的Spring Boot中使用可信SSL证书

Question

我对SSL证书的主题很陌生，我想安装我购买的SSL，这样当用户进入我的网站时，他们就不会看到不可信的证书。这里是我到目前为止所做的步骤

1. 使用keytool创建了一个p12文件
2. 从步骤1中的文件创建csr文件
3. 将csr上载到我的ssl供应商，并在通过他们对我的域的验证后，下载以下文件:.crt、.ca-bundle、.p7b文件

我将所有文件（包括我生成的文件）放置在resources目录中，并添加了以下属性

server.ssl.key-store:classpath:myFile.p12
server.ssl.key-store-password:some_pass
server.ssl.keyStoreType:PKCS12
server.ssl.keyAlias:someAlias

Answer 1

唯一可行的方法是使用TCP路由。使用Cloud Foundry上的标准HTTP路由，流量首先到达负载均衡器&然后到达Gorouter。TLS终止将发生在那里，而不是在您的应用程序中。如果使用TCP路由，这将在TCP级别实现负载平衡，并允许应用程序直接执行TLS终止。

也就是说，你真的不想那么做。TCP路由不太可能允许您选择端口443，因为一个端口只能分配给一个应用程序。这意味着只有一个使用TCP路由的应用程序可以拥有端口443。而且在大多数情况下，平台运营商只允许TCP路由的高编号端口，这意味着没有人能够选择443。长话短说，您不希望您的用户必须以https://www.example.com:47385的身份访问您的站点，因此您不希望使用TCP路由。

要使用标准HTTP路由正确地设置此功能，您需要与您的平台运营团队合作。您需要共同执行以下操作：

1. 获取要使用的域。
2. 获得负载均衡器。这需要配置为将流量路由到基础中的Gorouters。您可以跳过这一点并使用现有的负载均衡器，但这对下面的步骤#6有影响[1]。
3. 为域配置DNS，以便它在步骤#2中路由到负载均衡器。
4. 将域添加为cf中的私有域或共享域。
5. 使用步骤#3中创建的域将路由映射到应用程序。
6. 将TLS证书和密钥添加到负载均衡器[1]中。

当你做了所有这些，流量到您的域将解析到您的负载均衡器的IPs。您的用户浏览器将向LB发出HTTPS请求，该请求将终止TLS（如果是HTTP/Layer-7 LB)，并转发到Gorouter（如果有TCP/Layer-4 LB，则TLS在这里终止），然后转发到您的应用程序（基于您映射的路由）。

您的应用程序将需要查看x-forwarded-for和x-forwarded-proto头部，以确认请求是否通过HTTPS传入，因为它不会直接终止TLS。