anasaso/ssllabs_exporter

SSLLabs exporter

概述

SSLLabs exporter是一款Prometheus exporter，采用类似blackbox_exporter的方式，对公共互联网上的任何SSL Web服务器配置进行深度分析。该exporter将目标服务器主机名转发至SSLLabs API，解析结果并导出为Prometheus指标。它包含失败重试机制，并简化了评估结果。

SSLLabs介绍

SSL Labs是一项非商业研究项目，由Qualys运营，旨在更好地了解SSL、TLS和PKI技术在实际中的使用情况。

来源：[***]

本exporter实现了SSLLabs API客户端，可获取与网页界面相同的结果。

核心功能与特性

• 无需配置文件，通过命令行参数即可完成配置
• 自动处理SSLLabs API调用失败的重试逻辑
• 缓存评估结果，减少重复API请求
• 导出关键SSL配置指标，便于Prometheus监控与告警
• 支持自定义监听地址、超时时间、日志级别等参数

使用场景

• 监控公共互联网SSL服务器的TLS配置安全性
• 跟踪SSL证书等级变化（如A+、A、B等）
• 集成到Prometheus+Grafana监控体系，可视化SSL配置状态
• 自动化检测SSL配置缺陷或安全漏洞

配置说明

ssllabs_exporter无需配置文件，可通过以下命令行参数进行配置：

bash
$ ssllabs_exporter --help
usage: ssllabs_exporter [<flags>]

Flags:
  --help                     显示上下文相关帮助（也可尝试 --help-long 和 --help-man）。
  --listen-address=":19115"  HTTP请求监听地址。
  --timeout="10m"            取消正在进行的探测的超时时间，如30m或1h5m。该值必须至少为1m。有效的时间单位为ns、us（或µs）、ms、s、m、h。
  --log-level=debug          日志输出级别。
  --cache-retention="1h"     缓存条目保留时间，如30m或1h5m。有效的时间单位为ns、us（或µs）、ms、s、m、h。
  --cache-ignore-failed      不缓存因SSLLabs间歇性问题导致的失败结果。
  --version                  显示应用版本。

Docker部署

Prometheus exporter可通过Docker镜像部署，镜像地址：https://hub.docker.com/repository/docker/anasaso/ssllabs_exporter

基本使用

bash
docker run --rm -it anasaso/ssllabs_exporter:latest --help

常规部署

bash
docker run -d -p 19115:19115 --name ssllabs-exporter anasaso/ssllabs_exporter:latest \
  --listen-address=":19115" \
  --timeout="15m" \
  --log-level=info \
  --cache-retention="2h"

使用方法

部署到基础设施

将exporter部署到您的基础设施中。示例Kubernetes部署和服务YAML文件可参考此处。

配置Prometheus

调整Prometheus配置，添加新的抓取配置。配置示例可参考此处（包含静态配置和Kubernetes服务发现，用于自动检查集群入口）。

部署完成后，Prometheus的"Targets"页面应显示类似以下内容：
!prometheus-targets-view

Grafana仪表板

可使用此处提供的Grafana仪表板：
!grafana-dashboard

可用指标

ssllabs_grade 可能值：

• 1：评估成功，等级通过grade标签展示
• 0：目标主机无任何端点（返回的https://github.com/ssllabs/ssllabs-scan/blob/master/ssllabs-api-docs-v3.md#host%E4%B8%BA%E7%A9%BA%EF%BC%89
• -1：评估处理错误（如SSLLabs API速率限制）