如何确认来自Go客户端的gRPC流量是TLS加密的

Question

我在Go中编写了一个示例gRPC客户端服务器，两者都是为服务器身份验证的TLS配置的。

客户端gRPC调用成功，给我的印象是TLS配置正确，否则，如果TLS握手失败，我希望客户端失败，不会发出gRPC请求（即，不会默认为明文）。

然而，当我将Wireshark连接到该网络以嗅探TCP数据包时，得到的结果让我感到困惑。我没有看到任何TLS数据包，例如，我没有看到TLS客户端HELLO数据包。

这是因为我误解了我在Wireshark中看到的内容，还是我的gRPC客户端实际上在做纯文本gRPC？

客户机代码如下所示，请注意grpc。使用TransportCredentials，我认为这意味着它将使用TLS或失败，但不会使用明文：

    // block the dial until connection is successful or 3 sec timeout
    dialOptions := []grpc.DialOption{
        grpc.WithBlock(),
        grpc.WithTimeout(3 * time.Second),
    }

    // Load TLS Configuration
    tlsCredentials, err := LoadTLSCredentials()
    if err != nil {
        log.Fatalf("Failed to load TLS credentials: %v", err)
    }

    dialOptions = append(dialOptions, grpc.WithTransportCredentials(tlsCredentials))

    // Dial the gRPC server
    log.Printf("Dialing %v", *address)
    conn, err := grpc.Dial(*address, dialOptions...)
    if err != nil {
        log.Fatalf("Failed to connect to the server: %v", err)
    }
    defer conn.Close()

    // then this application sets up a gRPC request, and logs the response to stdout,
    // in my testing stdout shows the expected gRPC response, so I'd assume TLS is working.


func LoadTLSCredentials() (credentials.TransportCredentials, error) {
    rootCA, err := ioutil.ReadFile("ca.cert")
    if err != nil {
        return nil, err
    }

    certPool := x509.NewCertPool()
    if !certPool.AppendCertsFromPEM(rootCA) {
        return nil, fmt.Errorf("Failed to add rootCA to x509 certificate pool")
    }

    config := &tls.Config{
        MinVersion: tls.VersionTLS12,
        RootCAs: certPool,
    }

    return credentials.NewTLS(config), nil
}

我在运行Wireshark v2。Ubuntu 16.04上的6.10。源和目标IP与我的gRPC客户端和服务器IP匹配（都是同一docker网络上的docker容器）。

这并不重要，但从我的客户机代码中可以看出，我在客户机上共享根CA证书（自签名）。我可以这样做，因为我同时部署了客户端和服务器。

Answer 1

您应该右键单击数据包列表，并选择“解码为...”菜单项，然后选择“tls”来强制wireshark将此tcp端口中的流量解剖为TLS。

Answer 2

正如@steffanUllrich在评论中解释的，这是Wireshark可以更好地配置为显示TLS的一个例子。我确认gRPC交换确实受TLS保护。