aporeto/mtlsproxy

mtlsproxy 镜像文档

镜像概述

mtlsproxy是一个轻量级代理服务，设计为边车（sidecar）容器运行，旨在为任何HTTP服务添加双向TLS（mTLS）认证能力，无需修改目标服务代码。

核心功能与特性

• 边车部署模式：可作为独立容器与目标HTTP服务部署在同一Pod中，提供透明的mTLS认证
• 双向TLS支持：验证客户端证书并向客户端提供服务器证书，实现双向身份验证
• 灵活配置：所有参数支持通过命令行标志或环境变量配置
• 可定制日志：支持JSON格式日志输出，可配置日志级别（默认info）
• 轻量级设计：资源占用低，易于集成到现有服务架构中

使用场景

• 为无TLS能力的HTTP服务添加mTLS认证
• 微服务架构中实现服务间安全通信
• 保护内部API，要求客户端提供有效证书才能访问
• 简化服务安全配置，将TLS认证逻辑与业务逻辑分离

使用方法与配置说明

基本用法

通过运行容器并配置必要的证书路径和后端服务地址，即可启动mtlsproxy。所有配置参数可通过环境变量或命令行标志设置。

配置参数

Docker部署示例

使用docker run命令

bash
docker run -d \
  --name mtlsproxy \
  -p 443:443 \
  -v /path/to/certs:/certs \
  -e MTLSPROXY_CLIENTS_CA="/certs/ca-clients-cert.pem" \
  -e MTLSPROXY_BACKEND="http://backend-service:8080" \
  -e MTLSPROXY_CERT="/certs/server-cert.pem" \
  -e MTLSPROXY_CERT_KEY="/certs/server-key.pem" \
  -e MTLSPROXY_CERT_KEY_PASS="secret" \
  mtlsproxy

使用docker-compose配置

yaml
version: '3'
services:
  mtlsproxy:
    image: mtlsproxy
    ports:
      - "443:443"
    volumes:
      - ./certs:/certs
    environment:
      - MTLSPROXY_CLIENTS_CA=/certs/ca-clients-cert.pem
      - MTLSPROXY_BACKEND=http://backend:8080
      - MTLSPROXY_CERT=/certs/server-cert.pem
      - MTLSPROXY_CERT_KEY=/certs/server-key.pem
      - MTLSPROXY_CERT_KEY_PASS=secret
      - MTLSPROXY_LOG_LEVEL=debug
    depends_on:
      - backend

  backend:
    image: your-backend-service
    ports:
      - "8080:8080"

注意事项

• 确保挂载的证书文件权限正确，容器内进程可读取
• 客户端CA证书需包含所有允许访问的客户端证书的签发CA
• 后端服务地址应使用容器网络内可访问的地址（如服务名或IP）
• 生产环境中建议使用强密码保护证书密钥，并通过安全方式管理环境变量