配置Keyless证书

通信安全

边缘节点与 KeyServer 之间采用双向 TLS 认证，保障通信通道的安全性。在配置 KeyServer 时，可选择是否开启 KeyServer 认证。开启后，边缘节点将强制认证 KeyServer 证书。

边缘节点仅持有证书公钥，私钥存储在 KeyServer 中。每次 TLS 握手时，边缘节点向 KeyServer 发起远程签名请求，完成握手。

获取源码

KeyServer 开源代码托管在 GitHub 上。从开源仓库 alibabacloud-dcdn-keyserver 克隆 KeyServer 代码：

git clone https://github.com/alibaba/alibabacloud-dcdn-keyserver.git
cd alibabacloud-dcdn-keyserver
git submodule update --init

编译构建

KeyServer 基于 Nginx 构建，需要先下载 Nginx 源码并应用相关补丁：

# 应用补丁
patch -p1 -d deps/nginx_tcp_proxy_module/ < tcp_module_compile_fixed.patch
patch -p1 -d deps/nginx_tcp_proxy_module/ < tcp_lurk_keepalive.patch
patch -p1 -d deps/nginx_tcp_proxy_module/ < tcp_access_log_format.patch
patch -p1 -d deps/OpenSSL_1_1_1-stable/ < lurk_openssl_1_1_1-stable.patch

# 下载并解压 Nginx
wget 'https://nginx.org/download/nginx-1.26.2.tar.gz'
tar -xzvf nginx-1.26.2.tar.gz

# 应用 Nginx TCP 模块补丁
patch -p1 -d nginx-1.26.2 < deps/nginx_tcp_proxy_module/tcp.patch

# 编译
cd nginx-1.26.2
./configure \
    --with-http_ssl_module \
    --with-openssl=../deps/OpenSSL_1_1_1-stable \
    --add-module=../deps/nginx_tcp_proxy_module \
    --add-module=.. \
    --with-cc-opt="-Wno-implicit-fallthrough"
make

编译完成后，可执行文件位于 nginx-1.26.2/objs/nginx。

生成通信通道证书

KeyServer 与 ESA 边缘节点之间通过 TLS 加密通道通信，您需要为此通道生成专用的证书和私钥：

# 创建 OpenSSL 配置文件
cat > openssl.conf << EOF
[ req ]
default_bits = 2048
encrypt_key = no
distinguished_name = req_distinguished_name
[ req_distinguished_name ]
EOF

# 生成自签名证书和私钥
openssl req -x509 -new -config ./openssl.conf \
    -subj /CN=keyserver/ \
    -out keyserver-channel.pem \
    -keyout keyserver-channel.key

配置并启动 KeyServer

编辑 KeyServer 配置文件（参考项目中的 config 文件），主要配置项如下：

user root;
worker_processes auto;
error_log logs/error.log;

events {
    worker_connections 1024;
}

tcp {
    # 访问日志格式
    log_format main '{"time":$lurk_start_time,"client_ip":"$client_ip","server_ip":"$host_ip","lurk_id":$lurk_id,"lurk_type":$lurk_type,"lurk_error":$lurk_err_code}';
    access_log logs/lurk_access.log main;

    lurk_get_key_mode local;

    server {
        # KeyServer 监听端口
        listen 8443 ssl;

        # 通信通道 TLS 证书和私钥
        ssl_certificate     /path/to/keyserver-channel.pem;
        ssl_certificate_key /path/to/keyserver-channel.key;

        ssl_protocols TLSv1.2;
        ssl_ciphers EECDH+AES256;
        ssl_session_cache shared:lurk:100m;
        ssl_session_timeout 8h;
        ssl_prefer_server_ciphers on;

        lurk;

        # 业务证书私钥存放目录
        lurk_pkey_path /path/to/pkeys;

        lurk_keepalive_requests 1000;
    }
}

关键配置说明：

将您业务域名证书对应的私钥文件复制到 lurk_pkey_path 指定的目录中：

1mkdir -p /path/to/pkeys
2cp your-domain.key /path/to/pkeys/

使用配置文件启动 KeyServer：

/path/to/nginx -c /path/to/keyserver.conf

启动后，请确保 KeyServer 的监听端口（默认 8443）可被公网访问。您可以通过防火墙或安全组规则来限制仅允许 ESA 边缘节点的 IP 段访问该端口。

常见失败场景