设置后端 mTLS

本页面介绍了如何通过将自行管理的证书用于全球外部应用负载均衡器来设置后端 mTLS。

配置后端 mTLS 的步骤与配置后端验证的 TLS 类似，只是您还需要为负载均衡器创建证书。此证书（也称为客户端证书）附加到后端身份验证配置资源。负载均衡器使用此客户端证书向后端验证自己的身份。

如需配置后端 mTLS，您需要执行以下操作：

• 创建包含根证书和中间证书的信任配置资源。
• 创建客户端证书并将其上传到 Certificate Manager。
• 创建一个同时引用信任配置和客户端证书的后端身份验证配置资源。
• 将后端身份验证配置资源附加到负载均衡器的后端服务。

准备工作

• 查看后端验证的 TLS 和后端 mTLS 概览。
• 查看管理信任配置。

• 如果您想使用 Google Cloud CLI 来按照本指南中的说明操作，则需要安装该工具。您可以在 API 和 gcloud CLI 参考文档中找到与负载均衡相关的命令。

  如果您之前未运行过 gcloud CLI，请先运行 gcloud init 命令进行身份验证。

• 启用以下 API：Compute Engine API、Certificate Manager API、Network Security 和 Network Services API。如需了解详情，请参阅启用 API。

• 使用以下任一受支持的后端配置全球外部应用负载均衡器：

  • 虚拟机实例组后端
  • 混合连接 NEG
  • 区域 NEG

权限

设置概览

后续部分介绍了如何根据下图所示的架构配置后端 mTLS：

创建根证书和中间证书

本部分使用 OpenSSL 库创建根证书（信任锚）和中间证书。

根证书位于证书链的顶部。中间证书是可回溯到根证书的信任链的一部分。中间证书由根证书进行加密签名。当负载均衡器收到服务器证书时，它会通过建立一条从服务器证书回溯到配置的信任锚点的信任链来验证该证书。

使用以下命令创建根证书和中间证书。

1. 创建 OpenSSL 配置文件。

   在以下示例中，配置文件 (example.cnf) 包含 [ca_exts] 部分，该部分指定了将证书标记为适合证书授权机构 (CA) 的 X.509 扩展。如需详细了解根证书和中间证书的要求，请参阅证书要求。

   cat > example.cnf << EOF
   [req]
   distinguished_name = empty_distinguished_name
   
   [empty_distinguished_name]
   # Kept empty to allow setting via -subj command-line argument.
   
   [ca_exts]
   basicConstraints=critical,CA:TRUE
   keyUsage=keyCertSign
   extendedKeyUsage=serverAuth
   
   EOF
   

2. 创建自签名 X.509 根证书 (root.cert)。该根证书使用自己的私钥 (root.key) 进行自签名。

   openssl req -x509 \
       -new -sha256 -newkey rsa:2048 -nodes \
       -days 3650 -subj '/CN=root' \
       -config example.cnf \
       -extensions ca_exts \
       -keyout root.key -out root.cert
   

3. 为中间证书创建证书签名请求 (CSR) int.req。

   openssl req -new \
       -sha256 -newkey rsa:2048 -nodes \
       -subj '/CN=int' \
       -config example.cnf \
       -extensions ca_exts \
       -keyout int.key -out int.req
   

4. 对 CSR 签名以创建 X.509 中间证书 (int.cert)。CSR 使用根证书进行签名。

   openssl x509 -req \
       -CAkey root.key -CA root.cert \
       -set_serial 1 \
       -days 3650 \
       -extfile example.cnf \
       -extensions ca_exts \
       -in int.req -out int.cert
   

设置证书格式

如需在受信任证书存储区中添加新证书或现有证书，请将证书格式设置为单行并将它们存储在环境变量中，以便信任配置 YAML 文件可以引用这些证书。

export ROOT_CERT=$(cat root.cert | sed 's/^[ ]*//g' | tr '\n' $ | sed 's/\$/\\n/g')

export INTERMEDIATE_CERT=$(cat int.cert | sed 's/^[ ]*//g' | tr '\n' $ | sed 's/\$/\\n/g')

创建信任配置资源

信任配置是一项资源，用于表示您在 Certificate Manager 中的公钥基础架构 (PKI) 配置。

如需创建信任配置资源，请完成以下步骤：

创建客户端证书

在后端 mTLS 中，负载均衡器充当客户端，而后端充当服务器。

如需启用后端 mTLS，负载均衡器需要向后端证明其身份。执行此身份验证使用的是负载均衡器向后端提供的客户端证书。后端服务器需要使用自己的信任链验证客户端证书。

连接到后端服务器时，负载均衡器会将服务器名称指示 (SNI) 设置为 TLS 配置中指定的主机名。后端服务器会根据此 SNI 值选择适当的 SSL/TLS 证书。负载均衡器希望 SNI 值与后端服务器证书中列出的主题备用名称 (SAN) 匹配。

客户端证书可以是私有 CA 中通过 Certificate Authority Service 管理的证书，也可以是自行管理的私有 PKI 证书。在此示例中，客户端证书是使用自行管理的证书颁发的。本部分使用 OpenSSL 库创建根 CA 证书和客户端证书。

如需创建客户端证书，请完成以下步骤：

1. 创建 OpenSSL 配置文件。

   在以下示例中，配置文件 (example.cnf) 包含 [ca_exts] 部分，该部分指定了将证书标记为适合证书授权机构 (CA) 的 X.509 扩展。extendedKeyUsage 属性设置为 clientAuth。如需详细了解根证书和中间证书的要求，请参阅证书要求。

     cat > example.cnf << EOF
     [req]
     distinguished_name = empty_distinguished_name
   
     [empty_distinguished_name]
     # Kept empty to allow setting via -subj command-line argument.
   
     [ca_exts]
     basicConstraints=critical,CA:TRUE
     keyUsage=keyCertSign
     extendedKeyUsage=clientAuth
   
     EOF
   

2. 创建自签名 X.509 根 CA 证书 (root.cert)。该根证书使用自己的私钥 (root.key) 进行自签名。

     openssl req -x509 \
         -new -sha256 -newkey rsa:2048 -nodes \
         -days 3650 -subj '/CN=root' \
         -config example.cnf \
         -extensions ca_exts \
         -keyout root.key -out root.cert
   

3. 创建配置文件以生成客户端证书的 CSR。

   以下配置文件 (client.config) 包含 [extension_requirements] 部分，该部分指定要包含在 CSR 中的 X.509 扩展。如需详细了解客户端证书的要求，请参阅证书要求。

     cat > client.config << EOF
     [req]
     default_bits              = 2048
     req_extensions            = extension_requirements
     distinguished_name        = dn_requirements
     prompt                    = no
   
     [extension_requirements]
     basicConstraints          = critical, CA:FALSE
     keyUsage                  = critical, nonRepudiation, digitalSignature, keyEncipherment
     extendedKeyUsage          = clientAuth
   
     [dn_requirements]
     countryName               = US
     stateOrProvinceName       = California
     localityName              = San Francisco
     0.organizationName        = example
     organizationalUnitName    = test
     commonName                = test.example.com
     emailAddress              = test@example.com
   
     EOF
   

4. 创建客户端证书的 CSR (client.csr)。

     openssl req -new \
         -config client.config \
         -keyout client.key -out client.csr
   

5. 使用 CSR 创建客户端证书 (client.cert)。CSR 由根 CA 证书签名，以颁发 X.509 客户端证书。

     openssl x509 -req \
         -CAkey root.key -CA root.cert \
         -days 365 \
         -extfile client.config \
         -extensions extension_requirements \
         -in client.csr -out client.cert
   

将客户端证书上传到 Certificate Manager

如需将客户端证书上传到 Certificate Manager，请完成以下步骤：

创建后端身份验证配置资源

如需创建后端身份验证配置 (BackendAuthenticationConfig) 资源，请完成以下步骤。

将后端身份验证配置资源附加到负载均衡器的后端服务

如需将后端身份验证配置 (BackendAuthenticationConfig) 资源附加到负载均衡器的后端服务，请完成以下步骤。

创建后端服务器证书

本部分提供了其他配置选项以用于创建由中间证书签名的服务器（叶）证书，这是信任配置的一部分。这确保了可以建立从服务器证书回溯到信任锚的一条信任链。

如果您已创建包含中间证书的信任配置资源，请执行以下操作：

1. 创建配置文件以生成服务器证书的 CSR。

   以下配置文件 (server.config) 包含 [extension_requirements] 部分，该部分指定要包含在 CSR 中的 X.509 扩展。如需详细了解服务器证书的要求，请参阅证书要求。

   cat > server.config << EOF
   [req]
   default_bits              = 2048
   req_extensions            = extension_requirements
   distinguished_name        = dn_requirements
   prompt                    = no
   
   [extension_requirements]
   basicConstraints          = critical, CA:FALSE
   keyUsage                  = critical, nonRepudiation, digitalSignature, keyEncipherment
   extendedKeyUsage          = serverAuth
   subjectAltName            = @alt_names
   
   [alt_names]
   DNS.1 = examplepetstore.com
   DNS.2 = api.examplepetstore.com
   
   [dn_requirements]
   countryName               = US
   stateOrProvinceName       = California
   localityName              = San Francisco
   0.organizationName        = example
   organizationalUnitName    = test
   commonName                = examplepetstore.com
   emailAddress              = test@examplepetstore.com
   
   EOF
   

2. 创建服务器证书的 CSR (server.csr)。

   openssl req -new \
       -sha256 -newkey rsa:2048 -nodes \
       -config server.config \
       -keyout server.key -out server.csr
   

3. 对 CSR 进行签名以颁发 X.509 服务器证书 (server.cert)。CSR 由中间证书进行签名。

   openssl x509 -req \
       -CAkey int.key -CA int.cert \
       -days 365 \
       -extfile server.config \
       -extensions extension_requirements \
       -in server.csr -out server.cert
   

   当负载均衡器连接到后端服务器时，后端服务器会提供其证书 (server.cert) 以向负载均衡器验证自己的身份，从而完成后端身份验证流程。

Apache Web 服务器上的其他 SSL 配置选项

1. 将服务器私钥 (server.key) 和服务器证书 (server.cert) 复制到 Apache Web 服务器。

       cat > server.key << EOF
       -----BEGIN PRIVATE KEY-----
       [...]
       -----END PRIVATE KEY-----
       EOF
   
       sudo cp ./server.key /etc/ssl/private/server.key
       

   将 [...] 替换为您之前创建的 PEM 编码服务器私钥。

       cat > server.cert << EOF
       -----BEGIN CERTIFICATE-----
       [...]
       -----END CERTIFICATE-----
       EOF
   
       sudo cp ./server.cert /etc/ssl/certs/server.cert
       

   将 [...] 替换为您之前创建的 PEM 编码服务器证书。

2. 将客户端证书上传到服务器的信任配置，以验证客户端证书。

         cat > client.cert << EOF
         -----BEGIN CERTIFICATE-----
         [...]
         -----END CERTIFICATE-----
         EOF
   
         sudo cp ./client.cert /etc/ssl/certs/client.cert
         

   将 [...] 替换为您之前创建的 PEM 编码客户端证书。

3. 更新 Apache Web 服务器的 SSL 配置。

   更新 Apache 的 SSL 配置，以使用指定的 SSL 证书和私钥启用 HTTPS 流量。

       sudo vi /etc/apache2/sites-available/default-ssl.conf
   
       ----
       SSLCertificateFile      /etc/ssl/certs/server.cert
       SSLCertificateKeyFile /etc/ssl/private/server.key
       ----
       

   更新 Apache 的 SSL 配置，以要求进行客户端证书身份验证，并指定 CA 证书进行验证。

       sudo vi /etc/apache2/sites-available/default-ssl.conf
   
       ----
       SSLVerifyClient require
       SSLVerifyDepth 5
       SSLCACertificateFile /etc/ssl/certs/client.cert
       ----
       

4. 重新哈希处理 CA 证书。

       sudo c_rehash /etc/ssl/certs/
       

5. 重启 Apache Web 服务器以应用更改。

       sudo systemctl restart apache2.service
       

后续步骤

• mTLS 概览
• 使用私有 CA 设置 mTLS