我已经多次更改服务器和客户端上的端口号，但服务器总是获取不正确的端口号。

当我执行客户端时，服务器将记录如下: 2017/05/07 15:06:07 grpc:Server.Serve 无法完成来自“127.0.0.1:32763”的安全握手:远程错误:tls:证书错误 在客户端，我得到了这个: 2017/05/07 15:06:07 无法调用本地主机:8070:连接错误:desc =“传输:x509:证书对任何名称均无效，但希望匹配本地主机:8070”；请重试。 rpc 错误:code = Internal desc = connection error:desc = "transport: x509: certificate is not valid for any names, but wanted to match localhost:8070"

我有 server.go 的这段代码

func serve() {
    addr := "localhost:8070"
    crt, key := certificate.CreatePemKey()
    certificate, err := tls.X509KeyPair(crt, key)
    if err != nil {
        fmt.Println(err)
    }

    certPool := x509.NewCertPool()
    ca, err := ioutil.ReadFile("F:/GIAG3.crt")
    if err != nil {
        fmt.Println(err)
    }

    if ok := certPool.AppendCertsFromPEM(ca); !ok {
        fmt.Println("unable to append certificate")
    }

    lis, err := net.Listen("tcp", addr)
    if err != nil {
        fmt.Println("could not list on %s: %s", addr, err)
    }

    // Create the TLS credentials
    creds := credentials.NewTLS(&tls.Config{
        ClientAuth:   tls.RequireAndVerifyClientCert,
        Certificates: []tls.Certificate{certificate},
        ClientCAs:    certPool,
    })

    srv := grpc.NewServer(grpc.Creds(creds))
    pb.RegisterPingerServer(srv, &server{})

    if err := srv.Serve(lis); err != nil {
        fmt.Println("grpc serve error: %s", err)
    }
}

这是给客户端的.go

func testDial2() {
    addr := "localhost:8070"
    crt, key := certificate.CreatePemKey()
    certificate, err := tls.X509KeyPair(crt, key)
    if err != nil {
        fmt.Println(err)
    }

    certPool := x509.NewCertPool()
    ca, err := ioutil.ReadFile("F:/GIAG3.crt")
    if err != nil {
        fmt.Println(err)
    }

    if ok := certPool.AppendCertsFromPEM(ca); !ok {
        fmt.Println("unable to append certificate")
    }

    creds := credentials.NewTLS(&tls.Config{
        ServerName:   addr,
        Certificates: []tls.Certificate{certificate},
        RootCAs:      certPool,
    })

    conn, err := grpc.Dial(addr, grpc.WithTransportCredentials(creds))
    if err != nil {
        fmt.Println(err)
    }

    defer conn.Close()
    c := pb.NewPingerClient(conn)
    r, err := c.Ping(context.Background(), &pb.Payload{Message: "Ping"})
    if err != nil {
        fmt.Println(err)
    }
    log.Printf("%s", r.Message)
}

这是针对 CreatePemKey 的，它基于此示例 https://golang.org/src/crypto/tls/generate_cert.go

func publicKey(priv interface{}) interface{} {
    switch k := priv.(type) {
    case *rsa.PrivateKey:
        return &k.PublicKey
    case *ecdsa.PrivateKey:
        return &k.PublicKey
    default:
        return nil
    }
}

func pemBlockForKey(priv interface{}) *pem.Block {
    switch k := priv.(type) {
    case *rsa.PrivateKey:
        return &pem.Block{Type: "RSA PRIVATE KEY", Bytes: x509.MarshalPKCS1PrivateKey(k)}
    case *ecdsa.PrivateKey:
        b, err := x509.MarshalECPrivateKey(k)
        if err != nil {
            fmt.Fprintf(os.Stderr, "Unable to marshal ECDSA private key: %v", err)
            os.Exit(2)
        }
        return &pem.Block{Type: "EC PRIVATE KEY", Bytes: b}
    default:
        return nil
    }
}

func CreatePemKey() (certpem, keypem []byte) {
    priv, _ := rsa.GenerateKey(rand.Reader, 2048)
    notBefore := time.Now()
    notAfter := notBefore.AddDate(1, 0, 0)
    serialNumberLimit := new(big.Int).Lsh(big.NewInt(1), 128)
    serialNumber, _ := rand.Int(rand.Reader, serialNumberLimit)

    template := x509.Certificate{
        SerialNumber: serialNumber,
        Subject: pkix.Name{
            Organization: []string{"Acme Co"},
        },
        NotBefore:             notBefore,
        NotAfter:              notAfter,
        KeyUsage:              x509.KeyUsageKeyEncipherment | x509.KeyUsageDigitalSignature,
        ExtKeyUsage:           []x509.ExtKeyUsage{x509.ExtKeyUsageServerAuth},
        BasicConstraintsValid: true,
    }
    // template.IPAddresses = append(template.IPAddresses, net.ParseIP("localhost"))
    template.IsCA = true
    derbytes, _ := x509.CreateCertificate(rand.Reader, &template, &template, publicKey(priv), priv)
    certpem = pem.EncodeToMemory(&pem.Block{Type: "CERTIFICATE", Bytes: derbytes})
    keypem = pem.EncodeToMemory(pemBlockForKey(priv))
    return certpem, keypem
}

顺便说一句，GIAG3.crt 来自这里 https://pki.goog/

请帮帮我，谢谢

最佳答案

如果您的服务器证书没有域定义并且没有由 GIAG3 签名(如您的示例)，您应该添加 InsecureSkipVerify(这允许您跳过服务器名称和服务器证书)，这将解决无效名称的问题。

creds := credentials.NewTLS(&tls.Config{
    ServerName:   addr,
    Certificates: []tls.Certificate{certificate},
    RootCAs:      certPool,
    InsecureSkipVerify: true,
})

但是你会遇到另一个问题，因为客户端使用的是自签名证书，而服务器需要 GIAG3 签名的证书来进行身份验证 (tls.RequireAndVerifyClientCert)，所以你有一些选项，

• 您使用 GIAG3 为客户端签名的证书。
• 将身份验证类型减少为tls.RequireAnyClientCert，这允许您在身份验证时使用任何证书(它可以由 GIAG3 签名或不签名)，客户端只需要使用任何证书连接时。
• 删除带有证书的客户端身份验证。

关于go - 未能在 grpc 上完成安全握手？，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/43829022/