squareup/ghostunnel

Ghostunnel


镜像概述

Ghostunnel是一个轻量级TLS代理工具，支持双向认证，用于为非TLS后端服务提供安全保护。它提供客户端和服务器两种模式：服务器模式接受TLS连接并代理到不安全后端；客户端模式将本地不安全连接封装为TLS后转发到安全服务，可作为stunnel的替代方案。支持Linux、macOS、FreeBSD等多平台，推荐x86-64架构以获得最佳加密性能。

核心功能

• 双向认证：强制客户端提供有效证书，支持基于证书主题/备用名称的访问控制。
• 证书热更新：通过信号或定时任务重载证书，不中断现有连接，支持短生命周期证书。
• 监控指标：内置状态端口暴露连接数、握手成功率等指标，可集成到Graphite等系统。
• 安全默认配置：仅使用TLS v1.2+及安全密码套件，支持PKCS#11硬件密钥保护。

使用场景

• 后端服务加密：为HTTP、数据库等非TLS服务添加TLS层保护。
• 跨网络安全通信：通过客户端-服务器模式构建加密隧道，安全传输数据。
• 微服务认证：结合SPIFFE SVID实现服务间身份验证。

配置说明

Docker部署示例

服务器模式

bash
docker run -v /local/keys:/keys squareup/ghostunnel server \
  --listen 0.0.0.0:8443 \
  --target backend:8080 \
  --keystore /keys/server.p12 \
  --cacert /keys/ca.pem \
  --allow-cn trusted-client

（需替换/local/keys为本地证书目录，backend:8080为后端地址）

客户端模式

bash
docker run -v /local/keys:/keys squareup/ghostunnel client \
  --listen 0.0.0.0:8080 \
  --target secure-service:443 \
  --keystore /keys/client.p12 \
  --cacert /keys/ca.pem

证书配置

• 密钥库：--keystore支持PKCS#12或合并PEM文件，--cert/--key可分离加载证书和私钥。
• 信任根：--cacert指定信任的CA证书文件。

高级功能

• 访问控制：使用--allow-cn/--allow-ou等标志限制客户端访问。
• 日志抑制：--quiet=handshake-errs可屏蔽握手错误日志（适用于健康检查场景）。
• 状态监控：--status 127.0.0.1:8000启用状态端口，--enable-pprof开启性能分析。

更多高级功能（如HSM集成、SPIFFE支持）请参考官方文档：ACCESS-FLAGS、HSM-PKCS11。