一种基于微服务应用对私域资源的安全访问方法

最新推荐文章于 2024-09-03 17:35:32 发布
最新推荐文章于 2024-09-03 17:35:32 发布
阅读量357 收藏 8
点赞数 10
分类专栏： 实用工具 文章标签： 微服务 安全 openresty ssl
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/trtrtg/article/details/140823293
版权

需求

在客户现场部署了微服务技术架构的业务产品，需要挂相关的连接能够访问本司的内部资源，如WIKI。除了在网络安全层面限制之外，还需要部署一套应用层面的安全网关，保证只有登录微服务产品的用户才能访问在线文档。

整体流程

在这里插入图片描述

nginx:源系统的代理网关，这里也用于拦截特殊的请求链接，获取cookies中的jwt token信息；

客户端openresty:验证token是否合法、是否过期，若使用redis存储token信息，则需访问redis；验证无误则进行签名后转发，签名密钥使用rsa pkcs1格式，以pem文件存储；

服务端openresty:验证请求是否合法，合法则进行转发，其中合法包括首次跳转合法和后续访问合法。

目标服务：请求全部由服务端openresty转发，服务应该验证白名单，在外部网段，只允许openresty访问。

技术框架

nginx、openresty、lua、jwt

关键技术点

获取token并转发

源微服务系统网关需要拦截这些特殊菜单请求， /online_wiki。并重定向到安全网关客户端。

upstream gateway_clients{  
​
      server 127.0.0.1:7777;  
​
 }
​
 location = /online_wiki{
​
     set $token '';  
     if ($http_cookie ~* "Admin-Token=([^;]+)(?:;|$)") {  
         set $token $1;  
     }  
     proxy_set_header Host $host;  
     proxy_set_header X-Real-IP $remote_addr;  
     proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;  
     proxy_set_header X-Forwarded-Proto $scheme;  
     
     proxy_pass http://gateway_clients/jwt_lua?token=$token;
​
}

客户端openresty脚本核心逻辑

  1. 解密jwt token

  2. 访问redis，验证是否过期

  3. 签名（结合timestamp和nonce实现防重放攻击）

local function load_config(config_file)
    local config = {}
    local file = io.open(config_file, "r")
    if not file then
        ngx.log(ngx.ERR, "Unable to open config file: ", config_file)
        return nil
    end
    for line in file:lines() do
        local key, value = line:match("^(%S+)=(%S+)$")
        if key and value then
            config[key] = value
            ngx.log(ngx.ERR,'key:value',key..value);
        end
    end
    file:close()
    return config
end
 
local function get_config_value(key)
    local config = ngx.shared.nonce_cache:get("config")
    if not config then
        local debug = require("debug")
        local info = debug.getinfo(2, "S")
        local path = info.source:sub(2):match("(.*/)");
        
        config = load_config(path..'config.conf')
        ngx.shared.nonce_cache:set("config", config)
    end
    return config[key]
end
​
​
​
​
local cjson = require("cjson")
local jwt = require("resty.jwt")
​
​
local jwt_token = string.sub(ngx.req.get_uri_args()['token'],1);
ngx.log(ngx.ERR,"token,",jwt_token);
local jwt_obj = jwt:verify(get_config_value('token.pwd'), jwt_token)
if jwt_obj.verified == false then
        ngx.log(ngx.WARN, "Invalid token: ".. jwt_obj.reason)
        
        ngx.status = ngx.HTTP_UNAUTHORIZED
        ngx.header.content_type = "application/json; charset=utf-8"
       -- ngx.say(cjson.encode(jwt_obj))
        ngx.exit(ngx.HTTP_UNAUTHORIZED)
end
​
​
​
ngx.log(ngx.ERR,"md5，",ngx.md5(jwt_token))
​
​
local redis = require "resty.redis"
local red = redis:new()
 
red:set_timeout(1000) -- 1 second timeout
​
​
local ok, err = red:connect(get_config_value('redis.ip'), get_config_value('redis.port'))
      if not ok then
          ngx.say("failed to connect: ", err)
          ngx.exit(ngx.HTTP_UNAUTHORIZED)
      red:close();    
      end
​
​
local ok, err = red:auth(get_config_value('redis.pwd'));
      if not ok then
          ngx.say("failed to auth: ", err)
          ngx.exit(ngx.HTTP_UNAUTHORIZED)
      red:close();
      end
​
local ok,err = red:select(get_config_value('redis.db'));
​
if not ok then
          ngx.say("failed to select: ", err)
          ngx.exit(ngx.HTTP_UNAUTHORIZED)
     red:close();
end
 
local res, err = red:get(string.format('uas:user:login:%s',ngx.md5(jwt_token)))
      if not res then
          ngx.say("failed to get dog: ", err)
          ngx.exit(ngx.HTTP_UNAUTHORIZED)
      end
      if res == ngx.null then
          ngx.say("dog not found.",res)
          ngx.exit(ngx.HTTP_UNAUTHORIZED)
      end
 
​
​
local ok,err = red:set_keepalive(30000,20);
if not ok then
​
     ngx.log(ngx.ERR,"failed to set keepalive:",err);
end
​
​
local ppath = get_config_value('remotegateway.keypath');
local pname = get_config_value('remotegateway.keyname');
​
local file, err = io.open(ppath, "r")
if not file then
    ngx.log(ngx.ERR,"无法打开文件:",err);
    return
end
local private_key_path =file:read("*a")
 
-- 关闭文件
file:close()
​
​
​
ngx.log(ngx.ERR,"key:",private_key_path);
local b64 = require "ngx.base64"
local pk, err = require("resty.openssl.pkey").new(private_key_path)
if not pk then
    ngx.log(ngx.ERR, '[ERROR]:', err)
    return
end
local parameters, err = pk:get_parameters()
local e = parameters.e
​
​
local ts = os.time();
​
local uuid = require "resty.jit-uuid"
local my_uuid = uuid()
local data = ts..':'..my_uuid..':'..pname;
local digest, err = require("resty.openssl.digest").new("SHA256")
digest:update(data)
​
local signature, err = pk:sign(digest)
local wholetable = {c=pname,timestamp=ts,nonce=my_uuid,nsign=b64.encode_base64url(signature)}
--ngx.log(ngx.ERR,"数字签名参数，",ngx.escape_uri(cjson.encode(wholetable)));
ngx.redirect(get_config_value('remotegateway.url')..'/verify_lua?all='..ngx.escape_uri(cjson.encode(wholetable)),ngx.HTTP_MOVED_TEMPORARILY);
​
​
​
​

服务端openresty脚本核心逻辑

  1. 验签

  2. 保存链接，为后续验证_Referer_头准备

​
​
local function load_config(config_file)
    local config = {}
    local file = io.open(config_file, "r")
    if not file then
        ngx.log(ngx.ERR, "Unable to open config file: ", config_file)
        return nil
    end
    for line in file:lines() do
        local key, value = line:match("^(%S+)=(%S+)$")
        if key and value then
            config[key] = value
        end
    end
    file:close()
    return config
end
 
local function get_config_value(key)
    local config = ngx.shared.nonce_cache:get("config")
    if not config then
        local debug = require("debug")
        local info = debug.getinfo(2, "S")
        local path = info.source:sub(2):match("(.*/)");
        
        config = load_config(path..'config.conf')
        ngx.shared.nonce_cache:set("config", config)
    end
    return config[key]
end
​
​
​
​
​
local cjson = require("cjson")
​
​
​
​
​
local b64 = require "ngx.base64"
​
​
local args = ngx.req.get_uri_args();
​
local all = args["all"];
local o = ngx.unescape_uri(all);
ngx.log(ngx.ERR,"接收数字签名，",o)
local args = cjson.decode(o);
​
local c = args["c"];
local ts = args["timestamp"];
local nonce = args["nonce"];
local nsign = args["nsign"];
​
​
local ppath = get_config_value('localgateway.keypath');
local file, err = io.open(ppath..c..'.pem', "r")
if not file then
    ngx.log(ngx.ERR,"无法打开文件:",err);
    return
end
local private_key_path =file:read("*a")
​
-- 关闭文件
file:close()
​
​
local pk, err = require("resty.openssl.pkey").new(private_key_path)
if not pk then
    ngx.log(ngx.ERR, '[ERROR]:', err)
    return
end
​
​
local data = ts..':'..nonce..':'..c;
ngx.log(ngx.ERR, 'sign-o',private_key_path)
local digest, err = require("resty.openssl.digest").new("SHA256")
digest:update(data)
​
local ok, err = pk:verify(b64.decode_base64url(nsign),digest)
​
if not ok then
    ngx.log(ngx.ERR, '验签失败',err)
    ngx.exit(ngx.HTTP_UNAUTHORIZED)
          
end
​
--check timestamp nonce
--ngx.log(ngx.ERR, '验签成功')
local at = tonumber(ts);
local ct = os.time();
​
if ct - at > 5 then
    ngx.log(ngx.ERR, '时间差太长')
    ngx.exit(ngx.HTTP_UNAUTHORIZED)
end
​
--ngx.log(ngx.ERR, '时间合法,ct=',ct,',at=',at);
 
local red = ngx.shared.nonce_cache;
local res = red:get(string.format('wiki:lua:login:%s',ngx.md5(c)))
      if not res then
          red:set(string.format('wiki:lua:login:%s',ngx.md5(c)),'1', 5);
          --jump
          local scheme = ngx.var.scheme
          local host = ngx.var.host
          local port = ngx.var.server_port
          local request_uri = ngx.var.request_uri
          local wholeurl = ''
          --ngx.log(ngx.ERR,'端口号',port);
          if (scheme == "http" and port == '80') or (scheme == "https" and port == '443') then
              wholeurl = scheme .. "://" .. host .. request_uri
          else
              wholeurl = scheme .. "://" .. host .. ":" .. port .. request_uri
          end
          red:set('wiki:refered:'..wholeurl,'1', 300);
          --ngx.log(ngx.ERR,'设置地址','wiki:refered:'..wholeurl);
          return
      end
      ngx.log(ngx.ERR,"重复的请求",res);
      ngx.exit(ngx.HTTP_UNAUTHORIZED);
​
​
​
​
​
​
​

会话实现

在nginx中代理所有请求到后端

在这里插入图片描述

check.lua 检查referer并刷新缓存（续命）如下

​
local headers = ngx.req.get_headers()
local referer = headers["Referer"] or headers["referer"]
 
if referer then
   -- ngx.log(ngx.ERR,"Referer header: ", referer)
else
    ngx.log(ngx.ERR,"Referer header does not exist.")
    ngx.exit(ngx.HTTP_UNAUTHORIZED);
end
​
 
local red = ngx.shared.nonce_cache;
--ngx.log(ngx.ERR,'获取值,','wiki:refered:'..referer);
local res = red:get('wiki:refered:'..referer)
      if not res then
          ngx.log(ngx.ERR,"非法的请求");
​
          ngx.exit(ngx.HTTP_UNAUTHORIZED);
          return;
      end
     -- ngx.log(ngx.ERR,"合法请求",res);
      red:set('wiki:refered:'..referer,'1', 300);
​
​

在线安装

OpenResty - Download下载最新包，对于非最新的linux而言，编译openresty时，需要下载openssl源码包，在编译时指定

如下

./configure --prefix=/home/user/app/openresty --with-openssl=/home/user/app/openssl-1.1.1k
​
 make && make install

进入openresty/bin目录，下载相关依赖的lua、openssl、jwt、uuid，分别进行加解密、token处理、uuid生成。

 opm get fffonion/lua-resty-openssl 
​
 opm get SkyLothar/lua-resty-jwt
​
 opm get openresty/lua-resty-jit-uuid
trtrtg
关注
  • 10
    点赞
  • 踩
  • 8
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
微服务应用安全——Security
青葱暖咖啡
05-15 1569
微服务应用安全——Security 对于业务应用安全，主要考虑两方面：一方面是保障只有认证的用户才可以访问应用，也就是用户认证；另一方面就是要保障访问者只有拥有足够的权限才可以访问某个资源，也就是用户鉴权。 见SecurityConfig，在用户鉴权的configure方法中，antMatchers的命名来源于Java早期的一个构建工具Ant，用于路径匹配，在这里可以使用通配符也可以使用逗号隔开多个路径。 10.2 微服务安全 如何提供细粒度的安全管控方案？ 在进行单体架构应用开发时最常使用的安全管理机制
基于微服务之sso单点登录
weixin_55026035的博客
04-13 1052
微服务简单单点登录解析
提高微服务安全性的11个方法
琦彦
12-21 8814
原文发表于kubernetes中文社区，为作者原创翻译，原文地址 更多kubernetes文章，请多关注kubernetes中文社区 目录 为什么选择微服务？ 1.通过设计确保安全 OWASP 2.扫描依赖 3.随处使用HTTPS 安全的GraphQL API 安全的RSocket端点 4.使用身份令牌 授权服务器：多对一还是一对一？ 在JWT上使用PASETO令牌 5.加密和保护密钥 6.通过交付流水线验证安全性 7.降低攻击者的速度 8.使用Docker Rootl..
快速上手Spring Cloud 十一：微服务架构下的安全与权限管理
沛哥儿的专栏
03-27 2542
微服务架构下的安全与权限管理是一个复杂而持续的过程，需要我们不断学习和实践新技术、新方案。通过加强安全意识、引入安全工具、建立应急响应机制、实施多层次防御策略以及跨团队协同与安全责任共担等措施，我们可以不断提升微服务架构的安全性，为业务的稳定发展提供有力保障。在未来，随着技术的不断发展和业务的持续变化，我们需要持续关注微服务架构安全领域的新技术趋势和创新实践，以便更好地应对新的挑战和机遇。
微服务访问安全设计方案全探索
FeelTouch Labs
08-06 993
我们首先从传统单体应用架构下的访问安全设计说起，然后分析现代微服务架构下，访问安全涉及的原则，接着讨论目前常用的几种微服务架构下的访问安全设计方案。最后，详析Spring Cloud微服务架构下如何解决访问安全的问题。 一、传统单体应用的访问安全设计 上面的示意图展示了单体应用的访问逻辑。用户通过客户端发出http或者https请求，经过负载均衡后，单体应用收到请求。接着经过auth层，进行...
微服务架构统一安全认证设计与实践
2401_83384536的博客
06-07 629
Third-party application：第三方应用程序，本文中又称“客户端”（client）。HTTP service：HTTP服务提供商，本文中简称“服务提供商”。Resource Owner：资源所有者，本文中又称“用户”（user），即登录用户。User Agent：用户代理，本文中就是指浏览器。Authorization server：认证服务器，即服务提供商专门用来处理认证的服务器。Resource server：资源服务器，即服务提供商存放用户生成的资源的服务器。
基于微服务的应用程序的建模和安全动态更新
基于微服务的应用程序的发展：建模和安全动态更新王玉伟引用此版本：王雨薇基于微服务的应用程序的演变：建模和安全动态更新。人工智能[cs.AI]。巴黎理工学院，2022年。英语NNT：2022IPPAS009。电话：03937239HAL Id...
基于企业微信的开源 SCRM 系统，采用主流的 Java 微服务架构，是企业私域流量管理与营销的综合解决方案.zip
12-16
2. **微服务架构**：微服务架构是一种将大型应用程序拆分为一组小型、独立的服务的方法，每个服务都可以在其自身的进程中运行，并通过轻量级机制（如HTTP RESTful API）进行通信。在这个项目中，可能使用了Spring ...
微服务认证中的域间信任与安全性问题
# 第一章：微服务架构和认证简介 ## 1.1 微服务架构概述 ## 1.2 微服务认证的定义和作用 ## 1.3 微服务认证的发展和趋势 ## 第二章：域间信任的重要性 2.1 域间信任的定义和特点 2.2 微服务环境下的域间信任挑战 ...
【微服务】接口的幂等性怎么设计？
Arcus
08-31 1246
接口的幂等性怎么设计？
如何通过Spring Cloud Consul增强微服务安全性和可靠性
2401_85639015的博客
09-02 1042
Spring Cloud Consul 是基于 HashiCorp Consul 的一套分布式系统解决方案，它主要提供了服务发现、配置管理、健康检查等功能。在微服务架构中，服务的动态注册与发现是确保服务互联互通的核心，而 Consul 正好提供了这一能力。同时，Consul 还集成了服务的健康检查功能，通过监控服务的状态来确保服务的高可用性。此外，Spring Cloud Consul 还通过其配置中心功能，提供了动态的配置管理和分布式系统的状态管理，这些都为微服务架构的健壮性提供了强有力的支持。
微服务设计模式
Songbl_的博客
08-31 1136
通过使用 CQRS 模式，我们可以独立地优化写操作和读操作，从而提高系统的性能和响应能力。一个长事务，之前支付成功，然后后端的配送订单也成功等等，全部成功之后这个长事务才能完整的结束。引入MQ后，每个小的事务成功之后，就成功了，保证最终一致性即可。
微服务日常总结
最新发布
m0_59239420的博客
09-03 380
微服务日常总结
微服务--认识微服务
weixin_51933701的博客
08-30 1124
Eureka通过提供注册中心的功能，使得服务实例能够动态地注册和注销，同时服务消费者也能够通过Eureka Server方便地获取服务列表并进行服务调用。Ribbon的主要功能是在微服务架构中，通过提供一系列的负载均衡策略，将客户端的请求智能地分发到后端服务的多个实例上，从而提高系统的可用性和扩展性。服务提供者是一个运行在网络上，能够响应并处理来自服务消费者的请求的应用程序或服务。服务拆分是将一个大的应用程序拆分成多个小的、独立的服务的过程，每个服务专注于解决特定的业务问题。创建一个配置类来显式地设置。
微服务配置管理
2301_80339238的博客
09-03 1023
在前面我们已经学习了远程调用，Nacos注册中心，OpenFeign以及网关这些微服务组件。但是我们现在又会面临新的问题，就是微服务、注册中心、网关之中存在许多重复配置，维护成本比较高，另外就是业务配置经常变动，每次修改都要重启服务非常麻烦，网关路由配置写死，如果变更要重启网关。那么现在我们就可以用到配置管理服务。配置管理服务一方面读取配置，另一方面当配置发生改变时，它也可以去推送配置变更。
微服务--Nacos
weixin_51933701的博客
09-02 768
Nacos（Naming and Configuration Service）是阿里巴巴开源的一个更易于构建云原生应用的动态服务发现、配置管理和服务管理平台。它致力于帮助开发者快速实现动态服务发现、服务配置、服务元数据及流量管理。Nacos支持几乎所有主流类型的服务的发现、配置和管理，包括Kubernetes Service、gRPC & Dubbo RPC Service、Spring Cloud RESTful Service等。
【盖世汽车-注册安全分析报告】
09-02 1311
盖世汽车(上海盖世网络技术有限公司)是汽车产业专业的信息服务平台，为企业及行业人士提供一站式服务。
【数据隐私与安全】数据隐私保护与安全管理
weixin_39372311的博客
09-01 1026
数据隐私与安全已成为当今社会不可忽视的重要问题。企业需要在遵守法律法规的基础上，采取有效的技术和管理措施，确保数据的安全与隐私不受侵犯。在未来，随着安全技术的不断发展，数据隐私保护将会更加完善，为企业和个人的数据资产保驾护航。
微服务应用建模与安全动态更新策略
微服务是一种将单一应用程序分解为一组小型、独立的服务的方法，每个服务都能单独部署和扩展。在这种背景下，论文的核心内容可能涵盖了以下几个方面： 1. **微服务架构的优势**：阐述了微服务如何提高系统的可扩展...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值