Python Twisted：是否可以即时重新加载证书？

Question

我有一个简单的 Web 服务器，它通过 HTTPS 提供内容：

sslContext = ssl.DefaultOpenSSLContextFactory(

  '/home/user/certs/letsencrypt-privkey.pem',

  '/home/user/certs/letsencrypt-fullchain.pem',

)

reactor.listenSSL(

  port=https_server_port,

  factory=website_factory,

  contextFactory=sslContext,

  interface=https_server_interface

)

do_print(bcolors.YELLOW + 'server.py | running https server on ' + https_server_interface + ':' + str(https_server_port) + bcolors.END)

是否可以即时重新加载证书（例如通过调用https://example.com/server/reload-certificates之类的路径并让它执行一些代码）或者我需要做什么才能获得它完毕？

我想避免重新启动 Python 进程。

Answer 1

有几种方法是可能的。Daniel F 的回答非常好，并展示了一种很好的通用技术来动态重新配置服务器。这里还有一些技术更具体地适用于 Twisted 中的 TLS 支持。DefaultOpenSSLContextFactory首先，您可以从实例中重新加载 OpenSSL“上下文”对象。当需要重新加载证书时，运行：sslContext._context = NonesslContext.cacheContext()该cacheContext调用将创建一个新的 OpenSSL 上下文，在此过程中重新读取证书文件。这确实有依赖私有接口 ( _context) 及其与非真正公共接口 ( cacheContext) 交互的缺点。你也可以实现你自己的版本，DefaultOpenSSLContextFactory这样你就不必依赖这些东西了。 DefaultOpenSSLContextFactory并没有真正做太多。这是一个完全删除缓存行为的复制/粘贴/编辑：class DefaultOpenSSLContextFactory(ContextFactory):    """    L{DefaultOpenSSLContextFactory} is a factory for server-side SSL context    objects.  These objects define certain parameters related to SSL    handshakes and the subsequent connection.    """    _context = None    def __init__(self, privateKeyFileName, certificateFileName,                 sslmethod=SSL.SSLv23_METHOD, _contextFactory=SSL.Context):        """        @param privateKeyFileName: Name of a file containing a private key        @param certificateFileName: Name of a file containing a certificate        @param sslmethod: The SSL method to use        """        self.privateKeyFileName = privateKeyFileName        self.certificateFileName = certificateFileName        self.sslmethod = sslmethod        self._contextFactory = _contextFactory    def getContext(self):        """        Return an SSL context.        """        ctx = self._contextFactory(self.sslmethod)        # Disallow SSLv2!  It's insecure!  SSLv3 has been around since        # 1996.  It's time to move on.        ctx.set_options(SSL.OP_NO_SSLv2)        ctx.use_certificate_file(self.certificateFileName)        ctx.use_privatekey_file(self.privateKeyFileName)当然，这会为每个可能不受欢迎的连接重新加载证书文件。您可以重新添加自己的缓存逻辑，并使用适合您的证书刷新系统的控制界面。这也有一个缺点，那DefaultOpenSSLContextFactory就是一开始就不是一个非常好的 SSL 上下文工厂。它不遵循 TLS 配置的当前最佳实践。所以你可能真的想twisted.internet.ssl.CertificateOptions改用。这有一个类似的_context缓存，您可以清除它：sslContext = CertificateOptions(...) # Or PrivateCertificate(...).options(...)...sslContext._context = None它会在发现上下文时自动重新生成上下文，None因此至少您不必以cacheContext这种方式调用。但是，您再次依赖于私有接口。另一种更类似于 Daniel F 建议的技术是为已经在监听的套接字提供一个新工厂。这避免了stopListening和之间的服务短暂中断listenSSL。这将是这样的：from twisted.protocols.tls import TLSMemoryBIOFactory# DefaultOpenSSLContextFactory or CertificateOptions or whatevernewContextFactory = ... tlsWebsiteFactory = TLSMemoryBIOFactory(    newContextFactory,    isClient=False,    websiteFactory,)listeningPortFileno = sslPort.fileno()websiteFactory.sslPort.stopReading()websiteFactory.sslPort = reactor.adoptStreamPort(    listeningPortFileno,     AF_INET,     tlsWebsiteFactory,)这基本上只是让反应堆停止为sslPort具有过时配置的旧设备提供服务，并告诉它开始为新工厂上该端口的底层套接字服务事件。在这种方法中，您必须下降到稍低级别的 TLS 接口，因为您不能采用“TLS 端口”，因为没有这样的东西。相反，您采用 TCP 端口并自己应用必要的 TLS 包装（这正是 listenSSL 在幕后为您所做的）。请注意，这种方法比其他方法更受限制，因为并非所有反应器都提供filenooradoptStreamPort方法。如果您想在受支持的地方使用它并在其他地方优雅地降级，您可以测试各种对象提供的接口。另请注意，因为TLSMemoryBIOFactory无论如何它总是在幕后工作，如果你有对它的引用，你也可以旋转它的私有接口：tlsMemoryBIOFactory._connectionCreator = IOpenSSLServerConnectionCreator(    newContextFactory,)它将开始将其用于新连接。但是，再次，私人...

Answer 2

有可能的。reactor.listenSSL返回一个twisted.internet.tcp.Port实例，您可以将其存储在可访问的位置，例如服务器的网站资源中，以便您以后可以访问它：website_resource = Website()website_factory = server.Site(website_resource)website_resource.sslPort = reactor.listenSSL( # <---&nbsp; port=https_server_port,&nbsp; factory=website_factory,&nbsp; contextFactory=sslContext,&nbsp; interface=https_server_interface)然后稍后在您的 http 处理程序（render函数）中，您可以执行以下操作：if request.path == b'/server/reload-certificates':&nbsp; request.setHeader("connection", "close")&nbsp; self.sslPort.connectionLost(reason=None)&nbsp; self.sslPort.stopListening()&nbsp; self.sslListen()&nbsp; return b'ok'self.sslListen初始设置代码在哪里：website_resource = Website()website_factory = server.Site(website_resource)def sslListen():&nbsp; sslContext = ssl.DefaultOpenSSLContextFactory(&nbsp; &nbsp; '/home/user/certs/letsencrypt-privkey.pem',&nbsp; &nbsp; '/home/user/certs/letsencrypt-fullchain.pem',&nbsp; )&nbsp; website_resource.sslPort = reactor.listenSSL(&nbsp; &nbsp; port=https_server_port,&nbsp; &nbsp; factory=website_factory,&nbsp; &nbsp; contextFactory=sslContext,&nbsp; &nbsp; interface=https_server_interface&nbsp; )website_resource.sslListen = sslListen # <---sslListen() # invoke once initially# ...reactor.run()请注意，这request.setHeader("connection", "close")是可选的。它指示浏览器应该关闭连接，而不是在下一次获取服务器时重用它（HTTP/1.1 连接通常保持打开至少 30 秒以便重用）。如果connection: close未发送标头，那么一切仍然有效，连接仍然有效且可用，但仍将使用旧证书，如果您只是重新加载证书以在更新后刷新它们，这应该没certbot问题他们。来自其他浏览器的新连接将立即开始使用新证书。