使用Go和Let's Encrypt证书部署HTTPS

2017 年 7 月 23 日 FreeBuf SSLChina

为什么要使用HTTPS？使用HTTPS的途径有哪些？如何用Go来部署HTTPS？拿出你的小本本，你要的干货都在这儿！

HTTPS 的好处我们已在之前的文章中提高好多。它加密浏览器和服务器之间的流量，保障你密码传输的安全，让你的页面加载速度飞快，有助于网站的SEO优化还有对HTTP网站百般嫌弃的浏览器厂商……这些都是使用HTTPS的理由。那么问题来了，怎样可以又快又好地部署HTTPS呢？

使用第三方提供的HTTPS

比如说CloudFlare，他们的免费方案为你那仅支持HTTP的网站提供仿HTTPS代理服务。

要使用CloudFlare：

配置你的域，使用CloudFlare的DNS服务器

在CloudFlare的DNS设置中，将域指向你的服务器，并通将“状态”设为“DNS和HTTP代理服务器（CDN）”

在CloudFlare的加密设置中，将SSL设为“灵活”（该选项使浏览器通过HTTPS与CloudFlare对话，CloudFlare通过HTTP与浏览器对话）

在web管理界面配置CloudFlare的HTTPS代理，提供你的服务器的IP地址。

除此之外，还要启用“总是使用HTTPS”选项

浏览器与CloudFlare对话，CloudFlare负责提供SSL证书，并代理通向你的服务器的通信。由于额外的通信量，这可能会减慢网络速度，也可能由于CloudFlare服务器比你的服务器要快（变得更快是他们的工作），所以导致网络速度变快。

AWS、谷歌云以及其它一些主机服务提供商也为托管在他们那里的服务器提供免费HTTPS服务。

另一个选项是在支持HTTPS的反向代理服务器（如Caddy）后面运行你的服务器。

直接支持HTTPS

很久很久以前，想要一张ssl证书就必须每年为一个域名花很多钱。而现在，Let’s Encrypt改变了这一切。

这是一个非营利性机构，它提供免费证书，并且提供HTTP API来获得证书。API允许自动化处理这一过程。

在Let’s Encrypt出现之前，你可能会购买一个证书，而这仅仅是一串字节而已。你会把证书存放在一个文件中，并配置你的网络服务器来使用它。

有了Let’s Encrypt以后，你就能够使用他们的API来免费获得证书了，而且这一过程是在你的服务器启动后自动完成的。

值得庆幸的是，所有与API进行对话的艰苦工作都已由其他人做完了。我们只需要安装插件就可以了。

有两个Go库可以实现Let’s Encrypt支持。

我一直在使用golang.org/x/crypto/acme/autocert，它是由Go的核心开发人员开发的。

现在已经有几个月了，它运行一切正常。

下面是怎样启动一个使用Let’s Encrypt提供的免费SSL证书的HTTPS网络服务器的方法。

完整的例子请看：free-ssl-certificates/main.go。

const (
htmlIndex = `Welcome!`
inProduction = true
)
func handleIndex(w http.ResponseWriter, r *http.Request) {
io.WriteString(w, htmlIndex)
}
func makeHTTPServer() *http.Server {
mux := &http.ServeMux{}
mux.HandleFunc("/", handleIndex)
// set timeouts so that a slow or malicious client doesn't
// hold resources forever
return &http.Server{
ReadTimeout: 5 * time.Second,
WriteTimeout: 5 * time.Second,
IdleTimeout: 120 * time.Second,
Handler: mux,
}
}
func main() {
var httpsSrv *http.Server
// when testing locally it doesn't make sense to start
// HTTPS server, so only do it in production.
// In real code, I control this with -production cmd-line flag
if inProduction {
// Note: use a sensible value for data directory
// this is where cached certificates are stored
dataDir := "."
hostPolicy := func(ctx context.Context, host string) error {
// Note: change to your real domain
allowedHost := "www.mydomain.com"
if host == allowedHost {
return nil
}
return fmt.Errorf("acme/autocert: only %s host is allowed", allowedHost)
}
httpsSrv = makeHTTPServer()
m := autocert.Manager{
Prompt: autocert.AcceptTOS,
HostPolicy: hostPolicy,
Cache: autocert.DirCache(dataDir),
}
httpsSrv.Addr = ":443"
httpsSrv.TLSConfig = &tls.Config{GetCertificate: m.GetCertificate}
go func() {
err := httpsSrv.ListenAndServeTLS("", "")
if err != nil {
log.Fatalf("httpsSrv.ListendAndServeTLS() failed with %s", err)
}
}()
}
httpSrv := makeHTTPServer()
httpSrv.Addr = ":80"
err := httpSrv.ListenAndServe()
if err != nil {
log.Fatalf("httpSrv.ListenAndServe() failed with %s", err)
}}

需要注意的是：

HTTPS的标准端口是443；

你可以只运行HTTP、只运行HTTPS或两者都运行；

如果服务器没有证书，那么它将会使用HTTP API向Let’s Encrypt服务器请求证书。

这些请求被限制到每周处理20个，以避免Let’s Encrypt服务器过载。

因此，在某个地方缓存证书是非常重要的。在我们的例子中，我们将证书缓存到磁盘上，使用的是autocert.DirCache命令。

缓存只是一个界面，所以你可以在一个SQL数据库或Redis中执行你所存储的。

你必须正确安装DNS

为核实你确实是你所申请证书的域的所有者，Let’s Encrypt服务器会回叫你的服务器。

为了正常工作，DNS名必须解析到你的服务器的IP地址。

这意味着，HTTPS代码-路径的本地测试是很难的。我通常不这么做。

如果你真的想这么做，你可以使用ngrok来将你的本地端口暴露给互联网，设置DNS来将你的域名解析到ngrok创建的公共DNS上，然后等待确认DNS信息传给Let’s Encrypt的计算机。

你可能会好奇：这个HostPolicy业务是什么？

正如我提到的， Let’s Encrypt限制了证书供应，所以你需要确保服务器不会向其请求你不关心的域的证书。Autocert的文档很好地解释了这一点。

我们的例子假设的是最常见的情况：一个服务器仅响应一个域。你可以很容易地改变这一点。

在本地测试时，我们不运行HTTPS

当在你的笔记本电脑上进行本地测试时，运行HTTPS版本是毫无意义的。

你的计算机很可能没有可见公用IP地址，所以Let’s Encrypt服务器无法达到你那里，所以你将不会得到证书。

我们也不能绑定到HTTPS端口443（只有根进程可以绑定到1024以下的端口）。

在这个例子中，我使用inProduction标记来决定是否应该启动HTTPS服务器。

在实际代码中，我会加入检查-production命令行标志的代码，并使用它。

从HTTP重定向到HTTPS

如果你能够使用HTTPS了，那么提供纯HTTP就毫无意义了。

我们可以将所有HTTP请求重定向到同样的HTTPS上，以获得更好的安全性和搜索引擎优化效果。

func makeServerFromMux(mux *http.ServeMux) *http.Server {
// set timeouts so that a slow or malicious client doesn't
// hold resources forever
return &http.Server{
ReadTimeout: 5 * time.Second,
WriteTimeout: 5 * time.Second,
IdleTimeout: 120 * time.Second,
Handler: mux,
}
}
func makeHTTPToHTTPSRedirectServer() *http.Server {
handleRedirect := func(w http.ResponseWriter, r *http.Request) {
newURI := "https://" + r.Host + r.URL.String()
http.Redirect(w, r, newURI, http.StatusFound)
}
mux := &http.ServeMux{}
mux.HandleFunc("/", handleRedirect)
return makeServerFromMux(mux)
}
func main() {
httpSrv := makeHTTPToHTTPSRedirectServer()
httpSrv.Addr = ":80"
fmt.Printf("Starting HTTP server on %s\n", httpSrv.Addr)
err := httpSrv.ListenAndServe()
if err != nil {
log.Fatalf("httpSrv.ListenAndServe() failed with %s", err)
}
}