NGINX单双向混合认证

本文介绍通过NGINX配置实现WEB服务器单双向混合认证：

• 实现HTTPS服务器证书认证
• 对于一般网络客户端，强制客户端证书认证
• 对于信任网络，可以免除客户端证书认证

背景

对信息安全要求较高的互联网应用，除了传统的HTTPS之外，还引入了客户端证书认证，变成双向认证，比如银行客户端专业版软件，通常需要配合类似USB KEY的数字证书，才能使用。
随着对安全的越来越重视，一般企业应用引入双向认证的案例也越来越多。本文介绍的案例是面向代理商的应用，代理商大小不一，有的有专门IT人员规范公司IT，安全性较高，有的则全靠前端门店店员自己管理。
客户引入双向认证除了确保通信安全外，还有一个重要考虑是确保员工岗位变动或离职，引起的账户泄露风险，有客户端证书（USB KEY）之后，只要集中管理好客户端证书就可以了。
但同时也存在一些问题：

• 发行客户端证书需要费用还要走申请流程（向外部CA申请的话，申请资料邮寄，发行制作，邮寄证书等）
• 为识别客户端证书通常需要安装专门驱动软件，这可能不符合组织安全政策，另外因系统升级容易破坏驱动的兼容性，导致证书不可用。

为解决上述问题，在不增加成本前提下，本文尝试探讨NGINX单双向混合认证。

方案示意图

系统构成图

实现步骤

安装NGINX
sudo apt install nginx
更改配置文件
sudo vi /etc/nginx/sites-enabled/default
用以下类容替换原来的

upstream backend {
    server 10.100.99.195:8080; #后端APP应用地址
}

geo $is_in_white_list {
    default NO;     #默认拒绝
    10.100.99.221 YES;  #白名单用户，通过
}

server {
    listen 443 ssl default_server;

    include snippets/snakeoil.conf; #服务器证书设置，偷懒使用NGINX安装自带证书
    ssl_client_certificate /home/simon/root/root-cert.pem;  #客户端认证证书CA，需要自己制作，请自行百度
    ssl_verify_client optional; #请求提供客户端证书，但不强制
    location / {
        if ($is_in_white_list = YES) {  #白名单用户，通过
            proxy_pass http://backend;
            break;
        }
        #客户端证书验证未通过
        if ($ssl_client_verify != "SUCCESS") { return 400 ;}
        proxy_pass http://backend;
    }
}

启动nginx（服务器地址10.100.99.195）
sudo systemctl start nginx
启动后端APP
（这里在同一台机器用的docker容器启动tomcat，各位根据实验条件自己设置，只要设置的地址能访问后端服务即可）
sudo docker run --rm -p8080:8080 tomcat &>/dev/null &

验证一下

• 在10.100.99.221用IE访问https://10.100.99.195

服务器证书错误，请无视

无证书，白名单，访问成功

• 在10.100.99.221以外地址用IE访问https://10.100.99.195

  
  
  

  服务器证书错误，请无视
  
  
  

  无证书，非白名单，被拒了

• 在10.100.99.221以外地址持客户端证书，用IE访问https://10.100.99.195，
  （证书需要提前制作,注意需要经过上文提到的客户端认证证书CA签名）

  
  
  

  客户端证书
  
  

  再次访问服务器

  
  
  

  IE自动弹出匹配的客户端证书
  
  
  

  有证书，非白名单，访问成功

总结

本文介绍了通过NGINX实现单双向混合认证，既保证通讯安全，又能灵活添加信任网络，因为信任网络以外都需要客户端证书访问，还防止员工离职变动带来的账户泄露风险，关键还是零成本，设备0添加（码农的劳动免费啦）。有需要的朋友可以参考一下。

参考

• http://nginx.org/en/docs/
• https://serverfault.com/questions/741990/nginx-client-certificate-authentication-how-to-exclude-an-ip-address