随着网络通信安全性的xg111net企业邮局xg111企业邮局xg111net日益重要验证客户端证书，我们不难发现验证客户端证书，在企业级应用中，数据传输的安全防护措施已经成为不可或缺的一环。近期，不少使用RabbitMQ的开发团队收到了关于“远程主机允许明文身份验证”的漏洞警告。为确保敏感信息的安全传递，启用TLS（Transport Layer Security）支持成为了关键的解决方案。本文将详细介绍如何在RabbitMQ中启用TLS加密，以及在SpringBoot应用中配置TLS并设置EXTERNAL认证，通过实际操作步骤解决明文身份验证漏洞。一、启用RabbitMQ的TLS支持
1. 使用OpenSSL生成服务端证书
# 创建自签名CA证书，执行命令后根据提示设置CA私钥加密密码，并填写国家、地区等信息openssl req -x509 -newkey rsa:4096 -sha512 -days 3650 -out ca_cert.pem -keyout ca_key.pem# 生成RabbitMQ服务器私钥，执行命令后根据提示设置服务器私钥加密密码openssl genpkey -algorithm RSA -out rabbit_server_key.pem -aes256# 创建证书签名请求CSR，执行命令后根据提示输入上述服务器私钥加密密码openssl req -new -key rabbit_server_key.pem -out rabbit_server.csr# 使用之前创建的CA证书来签署服务器的CSR以生成服务器证书openssl x509 -req -in rabbit_server.csr -CA ca_cert.pem -CAkey ca_key.pem -CAcreateserial -out rabbit_server_cert.pem -days 3650 -sha512上述命令产生以下证书/私钥文件：
ca_cert.pem：CA证书文件。
ca_key.pem：CA私钥文件。
rabbit_server_cert.pem：RabbitMQ服务器证书文件。
rabbit_server_key.pem：RabbitMQ服务器私钥文件。
产生的以下中间文件可删除：
rabbit_server.csr、ca_cert.srl
2. 配置RabbitMQ启用TLS
将生成的证书/私钥文件放置到RabbitMQ配置目录下（比如：/etc/rabbitmq/ssl），然后在rabbitmq.conf文件中添加SSL相关配置：
listeners.ssl.default = 5671auth_mechanisms.1 = EXTERNALssl_options.cacertfile = /etc/rabbitmq/ssl/ca_cert.pemssl_options.certfile = /etc/rabbitmq/ssl/rabbit_server_cert.pemssl_options.keyfile = /etc/rabbitmq/ssl/rabbit_server_key.pemssl_options.password = #服务器私钥加密密码ssl_options.verify = verify_peerssl_options.fail_if_no_peer_cert = truessl_cert_login_from = common_name可以完全禁用常规（非TLS）监听，只有启用TLS的客户端使用正确的端口才能连接，添加以下配置：
# disables non-TLS listeners, only TLS-enabled clients will be able to connectlisteners.tcp = none如果RabbitMQ配置文件使用经典配置格式，可以这样设置TLS配置：
[ {rabbit, [ {ssl_listeners, [5671]}, {ssl_options, [ {cacertfile, "/etc/rabbitmq/ssl/ca_cert.pem"}, {certfile, "/etc/rabbitmq/ssl/rabbit_server_cert.pem"}, {keyfile, "/etc/rabbitmq/ssl/rabbit_server_key.pem"}, {verify, verify_peer}, {fail_if_no_peer_cert, true} ]}, {auth_mechanisms, ['EXTERNAL']}, {ssl_cert_login_from, common_name} ]}].配置说明：
ssl_listeners：SSL协议端口。
cacertfile：CA证书路径。
certfile：服务器公钥路径。
keyfile：服务器私钥路径。
verify：verify_peer-使用对等验证，客户端与服务端交换证书并验证验证客户端证书；verify_none-禁用对等验证，并且不会执行证书交换。
fail_if_no_peer_cert：true-不接受没证书的客户端连接验证客户端证书；false-接受没证书的客户端连接。
auth_mechanisms：认证机制，EXTERNAL-使用插件提供认证功能验证客户端证书；PLAIN-SASL PLAIN验证。在RabbitMQ服务器和客户端
ssl_cert_login_from：使用证书中的common_name（即CN）作为登录用户名（见下文创建客户端证书部分）。
为确保私钥文件的安全，产生的私钥文件默认仅属主用户可读写。需要检查文件权限，确保RabbitMQ运行用户可读，避免启动RabbitMQ服务时报错：ssl_options.keyfile invalid, file does not exist or cannot be read by the node.二、客户端使用使用TLS连接
1. 使用OpenSSL生成客户端证书
# 创建客户端私钥，执行命令后根据提示设置私钥加密密码openssl genpkey -algorithm RSA -out rabbit_client.key -aes256# 从私钥创建证书签名请求CSR，执行命令后根据提示输入上述私钥密码# 根据服务端ssl_cert_login_from的配置，CN=admin将使用admin作为登录RabbitMQ的用户名openssl req -new -key rabbit_client.key -out rabbit_client.csr -subj "/CN=admin/O=Your Organization Name/C=CN"# 使用自签名CA证书和服务器私钥生成客户端证书（将rabbit_client.csr文件上传到RabbitMQ服务器执行）openssl x509 -req -in rabbit_client.csr -CA ca_cert.pem -CAkey ca_key.pem -CAcreateserial -out rabbit_client.crt -days 3650 -sha512# 使用客户端证书创建客户端PKCS12格式的KeyStore，执行命令后，根据提示先输入客户端私钥密码，再设置KeyStore密码openssl pkcs12 -export -in rabbit_client.crt -inkey rabbit_client.key -out rabbit_client.p12 -CAfile ca_cert.pem -name rabbit_client -caname rabbit_root_ca# 将CA证书添加到TrustStore，以信任该CA证书，执行命令后，根据提示先设置TrustStore密码，再输入yes信任这个CA证书keytool -importcert -alias rabbit_root_ca -keystore rabbit_truststore.jks -file ca_cert.pem上述命令产生以下证书/私钥文件：
rabbit_client.p12：客户端PKCS12格式的KeyStore，用于存储客户端证书与私钥。
rabbit_truststore.jks：客户端TrustStore文件，存放信任的CA证书。
产生的以下中间文件可删除：
rabbit_client.key、rabbit_client.csr、rabbit_client.crt
2. 应用配置
将生成的KeyStore和Truststore文件放置到应用配置目录下（如：resources/ssl），然后在应用配置文件中进行TLS相关配置：
spring: rabbitmq: addresses: server:5671 ssl: enabled: true key-store: classpath:ssl/rabbit_client.p12 key-store-password: #KeyStore密码 trust-store: classpath:ssl/rabbit_truststore.jks verify-hostname: false3. 应用设置EXTERNAL认证机制
@Configuration@ConditionalOnProperty(name = "spring.rabbitmq.ssl.enabled", havingValue = "true")public class RabbitmqSslConfig { @Autowired CachingConnectionFactory cachingConnectionFactory; /** * 解决安全扫描AMQP明文登录漏洞，显式设置EXTERNAL认证机制 * EXTERNAL认证机制使用X509认证方式，服务端读取客户端证书中的CN作为登录名称 */ @PostConstruct public void rabbitmqSaslExternal() { cachingConnectionFactory.getRabbitConnectionFactory().setSaslConfig(DefaultSaslConfig.EXTERNAL); }}通过上述步骤，我们成功实现了在RabbitMQ中启用TLS加密，从而有效地解决了明文身份验证带来的安全隐患。
标签： 验证客户端证书