Go 当客户端同时是服务器时，需要什么 mTLS 证书

0. 当客户端也是服务器时，需要哪些mTLS证书？

从服务器的Angular 来看:

• 每项服务都需要自己的证书，以支持HTTPS
• 信任证书列表，用于authenticate个传入请求(该列表应包括所有authorised个客户端使用的所有证书).

从客户的Angular 来看:

• 您打算通过mTLS与之通信的所有服务器的证书列表；客户端不会信任未知证书(类似于Web浏览器)；通常在此处使用为所有服务签名证书的CA，但如果确实需要，也可以单独添加它们
• 它自己的证书，用于签署传出请求.

1. 使用mTLS的客户端[...]expose 端口80上的Golang http服务器

端口(:80或:443等)和协议(http、https、gRPC等)是不同的东西.但是，有一个很强的约定，即在端口80上使用http，在:443上使用https.如果您不关心约定，没有什么可以阻止您在端口:80上使用https.因为您想要实现mTLS，所以您必须在服务器上侦听HTTPS.

2. [...]但它是生成证书的单一来源，并向客户端提供内容，因此为简单起见，将坚持使用此命名[...]，是否可以让客户端使用从单个服务器生成的证书来监听请求？

我不确定我是否理解这里的前提，但证书生成通常不在服务器或客户端的责任范围内，这些服务器或客户端应该使用它们来建立相互信任.

我假设您有一个可以 for each Web服务器签名证书的CA，为简单起见，我们将为它们命名:

µA: must communicate with µB and µC
µB: must communicate only with µA
µC: must communicate only with µA

HTTPS和mTLS也是不同的东西:第一个是协议，第二个是身份验证方法.我会试着逐一回答他们:

100:

要开始在HTTPS上侦听，每个应该接受连接的微服务都应该启动一个侦听器，并加载它自己的.crt和.key(我将在配置mTLS时重新讨论这一节，但现在让我们来解决HTTPS):

func main() {
    http.HandleFunc("/hello", HelloServer)
    // Replace 443 with 80 if you really don't care about conventions
    err := http.ListenAndServeTLS(":443", "µ<A|B|C>.crt", "µ<A|B|C>.key", nil)
    if err != nil {
        log.Fatal("ListenAndServe: ", err)
    }
}

100:

在客户端(发送请求的微服务)和服务器(接收请求的微服务)之间相互执行mTLS认证.每个微服务可以是客户端、服务器或两者.

从客户的Angular 来看:

• 服务器提供的证书必须经过验证和信任
• 客户端必须加载它自己的证书和sign个传出请求

从服务器的Angular 来看:

• 通过受信任的客户端证书或CA列表，传入的请求必须为signed
• 响应必须是带有服务器证书的signed，该证书应该受到发起请求的客户端的信任.

客户A观点:

    // Client A perspective
    client := &http.Client{
        Transport: &http.Transport{
            TLSClientConfig: &tls.Config{
                // provide the CA that signed certificates that are presented
                // by servers B and C
                RootCAs: caCertPool,
                // provide the certificate for microservice A, which is
                // initiating the request
                Certificates: []tls.Certificate{cert}, 
            },
        },
    }

服务器B或C透视图:

tlsConfig := &tls.Config{
    // add only microservice A certificate in this pool; this will allow A 
    // to connect to B and C, but won't allow B to C and C to B 
    ClientCAs: caCertPool, 
    ClientAuth: tls.RequireAndVerifyClientCert,
}
tlsConfig.BuildNameToCertificate()

server := &http.Server{
    Addr:      ":443", // use :80 if you don't care about conventions
    TLSConfig: tlsConfig,
}

server.ListenAndServeTLS("server.crt", "server.key")