因为听到了两声雷，所以要发两篇博客。
——鲁迅
这篇博客来聊聊LuaJIT FFI里面ctypes的实现。
lua-resty-openssl: 基于FFI的Lua OpenSSL库
支持OpenSSL 1.1.x, 1.0.x和1.0.2系列
lua-resty-acme: ACMEv2客户端和Let’s Encrypt证书的自动化管理
安装
使用opm：
|
1 |
opm install fffonion/lua-resty-acme |
opm中没有luaossl库，所以这种安装使用的是基于FFI的Openssl后端；需要OpenResty链接了大于等于1.1版本的OpenSSL。
也可以使用luarocks安装：
|
1 |
luarocks install lua-resty-acme |
使用
以/etc/openresty目录为例，如果目录不存在，请自行修改。
生成一个账户密钥
|
1 |
openssl genpkey -algorithm RSA -pkeyopt rsa_keygen_bits:4096 -out /etc/openresty/account.key |
生成一个默认证书
|
1 |
openssl req -newkey rsa:2048 -nodes -keyout /etc/openresty/default.pem -x509 -days 365 -out /etc/openresty/default.key |
在Nginx配置的http 节插入以下内容
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 |
resolver 8.8.8.8; lua_shared_dict acme 16m; init_by_lua_block { require("resty.acme.autossl").init({ -- setting the following to true -- implies that you read and accepted https://letsencrypt.org/repository/ tos_accepted = true, -- uncomment following for first time setup -- staging = true, -- uncomment folloing to enable RSA + ECC double cert -- domain_key_types = { 'rsa', 'ecc' }, account_key_path = "/etc/openresty/account.key", account_email = "此处填写邮箱", domain_whitelist = { "你的域名1", "你的域名2" }, }) } init_worker_by_lua_block { require("resty.acme.autossl").init_worker() } |
首次配置时，建议将init_by_lua_block中的staing = true取消注释，以防错误过多触发限流；测试通过后再加回注释使用生产API。
在需要使用证书的server节插入
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 |
server { server_name example.com; # required to verify Let's Encrypt API lua_ssl_trusted_certificate /etc/ssl/certs/ca-certificates.crt; lua_ssl_verify_depth 2; # fallback certs, make sure to create them before hand ssl_certificate /etc/openresty/default.pem; ssl_certificate_key /etc/openresty/default.key; ssl_certificate_by_lua_block { require("resty.acme.autossl").ssl_certificate() } location /.well-known { content_by_lua_block { require("resty.acme.autossl").serve_http_challenge() } } } |
CentOS/Fedora等系统的根证书在/etc/ssl/certs/ca-bundle.crt，请根据实际情况修改lua_ssl_trusted_certificate。
保存后，reload nginx。
在一般情况下，domain_whitelist必须配置，以防止恶意请求通过伪造SNI头进行拒绝服务攻击。
如果要匹配一系列域名，可以使用__index来实现。比如下面的例子仅匹配example.com的子域名：
|
1 2 3 |
domain_whitelist = setmetatable({}, { __index = function(_, k) return ngx.re.match(k, [[\.example\.com$]], "jo") end}), |
RSA+ECC双证书
将init_by_lua_block中的domain_key_types = { 'rsa', 'ecc' }取消注释后，即可同时申请两套证书。
为了让申请到证书前的握手不出错断开，给Nginx配置默认的ECC证书
|
1 2 3 |
openssl ecparam -name prime256v1 -genkey -out /etc/openresty/default-ecc.key openssl req -new -sha256 -key /etc/openresty/default-ecc.key -subj "/" -out temp.csr openssl x509 -req -sha256 -days 365 -in temp.csr -signkey /etc/openresty/default-ecc.key -out /etc/openresty/default-ecc.pem |
然后在server节中原有的ssl_certificate下增加两行
|
1 2 |
ssl_certificate /etc/openresty/default-ecc.pem; ssl_certificate_key /etc/openresty/default-ecc.key; |
关于加密套件等的选择可借助搜索引擎。
TLS-ALPN-01
0.5.0开始支持tls-alpn-01，可以支持在只开放443端口的环境里完成验证。方法是通过蜜汁FFI偏移找到当前请求的SSL结构，然后设置了新的ALPN。需要多个stream server多次proxy，拓扑结构如下：
|
1 2 3 4 5 |
[stream unix:/tmp/nginx-tls-alpn.sock ssl] Y / [stream 443] --- ALPN是acme-tls ? N \ [http unix:/tmp/nginx-default.sock ssl] |
第一个stream server打开了443端口，根据请求的ALPN分发到不同的后段；如果是acme-tls则转发到我们的库，否则转发到正常的https。
示例配置见Github。
lua-resty-multiplexer: 端口服务复用
实现了一个端口服务复用的透明代理，可以在同一个端口上运行多个协议。根据每次连接中客户端发起的首个请求检测协议，根据协议或各种条件选择代理的上游。
需要打一个补丁。由@fcicq在这个讨论中贡献。这个补丁实现了BSD的socket recv()语义。目前官方也有这个feature的PR。
示例配置：
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 |
stream { init_by_lua_block { local mul = require("resty.multiplexer") mul.load_protocols( "http", "ssh", "dns", "tls", "xmpp" ) mul.set_rules( {{"client-host", "10.0.0.1"}, "internal-host", 80}, {{"protocol", "http"}, {"client-host", "10.0.0.2"}, "internal-host", 8001}, {{"protocol", "http"}, "example.com", 80}, {{"protocol", "ssh"}, "github.com", 22}, {{"protocol", "dns"}, "1.1.1.1", 53}, {{"protocol", "tls"}, {"time", nil}, "twitter.com", 443}, {{"protocol", "tls"}, "www.google.com", 443}, {{"default", nil}, "127.0.0.1", 80} ) mul.matcher_config.time = { minute_match = {0, 30}, minute_not_match = {{31, 59}}, } } resolver 8.8.8.8; server { listen 80; content_by_lua_block { local mul = require("resty.multiplexer") local mp = mul:new() mp:run() } } } |
示例中服务监听在80端口，并定义规则：
- 如果客户端来自
10.0.0.1，代理到 internal-host.com:80 - 如果请求协议是
HTTP而且客户端来自10.0.0.2，代理到 internal-host:8001 - 如果请求协议是
SSH，代理到 github.com:22 - 如果请求协议是
DNS，代理到 1.1.1.1:53 - 如果请求协议是
SSL/TLS而且现在的时间是 0 到 30分，代理到 twitter.com:443 - 如果请求协议是
SSL/TLS而且现在的时间是 31 到 59分，代理到 www.google.com:443 - 以上均不满足，代理到 127.0.0.1:80
说明
- 只能实现识别连接建立后客户端先发送请求的协议，不兼容服务端先发送响应的协议（比如FTP，SMTP等）
- 如果实现了ngx.reqsock.peak()，则可以使用ngx_stream_proxy来转发流量，这样的话除了首个请求以外同一连接的后续请求将没有额外的性能损失；目前只能在Lua层转发。
使用Redis协议来调试ngx.shared
有时候用ngx.shared的时候想看一下到底存进去的值是什么，或者想列一下满足条件的键，或者想批量操作，所以这个项目就是用来解决这个问题的。
除了支持ngx.shared提供的操作以外，学习Redis增加了PING（测试连通性），KEYS（列出符合条件的键）和EVAL（在服务器上执行Lua脚本）。
已上传到opm，可以通过
opm install fffonion/lua-resty-shdict-server
一键安装。
由于目前stream和http子系统是两个独立的Lua VM，因此不能通过全局变量来共享数据。另外两个子系统的shdict是分别定义的，因此也不能互撸。所以如果想用这个模块来在redis-cli里撸http子系统下定义的shdict，需要这个补丁。
示例配置：
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 |
http { lua_shared_dict dog 10m; } stream { lua_shared_dict dog 10m; server { listen 6380; require "resty.core.shdict" require "resty.shdict.redis-commands" local srv = require("resty.shdict.server") local s = srv:new("a-very-strong-password", "dog") s:serve() } |
然后
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 |
$ redis-cli -h 127.0.0.1 -p 6380 127.0.0.1:6380> set doge wow (error) ERR authentication required 127.0.0.1:6380> auth a-very-strong-password OK 127.0.0.1:6380> set doge wow OK 127.0.0.1:6380> get doge wow 127.0.0.1:6380> keys dog* 1) "doge" 127.0.0.1:6380> eval "return shdict.call('del', unpack(shdict.call('keys', ARGV[1])))" 0 dog* OK 127.0.0.1:18002> keys * (empty list or set) |
队友畅言会频繁请求这个接口，有时候会达到单个用户一秒钟好几次？？
