c# - 在客户端中为 StreamSocket 或 SslStream 设置 SNI
问题描述
我可以使用 TLS 1.2 成功连接到我们的服务器。但是我们可以选择传入一个 SNI(在客户端 hello 消息中),这会将我们重定向到防火墙后面的另一台服务器。如何在 C# StreamSocket 或 SslStream 中指定 SNI(服务器名称指示符)?我在客户端找不到 C# 的任何示例。使用 Visual Studio 2017、C# 7.3、.NET 4.8.3752
这是我们的连接命令。
我们已经查看了 dotnetty、curl.net 以及可能使用的 openSSL。
await socket.ConnectAsync(new HostName(serverAddress), serverPort.ToString(), SocketProtectionLevel.Tls12);
提前感谢您的任何想法或评论。
解决方案
我们能够解决问题。我拼凑了几个部分示例,形成了 StackOverflow 和其他来源上的 4 或 5 个结果。
基本上我无法使用 StreamSocket。我必须使用 TcpClient 和 SslStream,我相信 StreamSocket 在内部使用(根据我在许多搜索中发现的)。微软并没有让它变得容易,就像你使用 ObjectiveC 或 Java 一样。
首先你必须创建一个 TcpClient 的实例:
_tcpClient = new TcpClient(_serverAddress, _serverPort);
然后创建一个 SslStream:
_socketStreamForReadSSL = new SslStream(
_tcpClient.GetStream()
, false
, new RemoteCertificateValidationCallback(ValidateServerCertificate));
请注意,在上面的代码片段中,我们设置了一个委托来处理我们这边的远程服务器验证。这是因为 Microsoft 将验证 SNI 名称是否与主机地址匹配。为了覆盖这种行为,他们慷慨地允许我们使用委托(在答案中进一步查看)。
下一步是设置要在握手中使用的任何证书:
X509CertificateCollection certs = BuildX509CertCollection();
BuildX509CertCollection 是我编写的一种构建证书集合的方法,基本上采用 Windows.Security.Cryptography.Certificates.Certificate 并使用 Certificate.GetCertificateBlob 生成的二进制文件将其转换为 X509Certificate。
现在,下一步至关重要,魔术发生在哪里。我们将向服务器验证客户端。这是设置 SNI 的地方。我们还在这里设置了协议(TLS 1.2)。
_socketStreamForReadSSL.AuthenticateAsClient(sniAddress, certs, SslProtocols.Tls12, false);
如果您使用以下命令运行 WireShark,您可以跟踪通信,下面是我用来查看我的开发盒和服务器之间的 TLS 1.2 通信的示例命令,其中 XXX.XXX.XXX.XXX 是您的 IP 地址服务器和你的目标
tls.record.version == "TLS 1.2" 和 ip.addr == XXX.XXX.XXX.XXX 和 ip.addr == XXX.XXX.XXX.XXX
部分 WireShark 结果展示了正在设置的 SNI anme
Internet Protocol Version 4, Src: XXX.XXX.XXX.XXX, Dst: XXX.XXX.XXX.XXX
Transmission Control Protocol, Src Port: <port number here>, Dst Port: <port number here>, Seq: 1, Ack: 1, Len: 196
Transport Layer Security
TLSv1.2 Record Layer: Handshake Protocol: Client Hello
Content Type: Handshake (22)
Version: TLS 1.2 (0x0303)
Length: 191
Handshake Protocol: Client Hello
Handshake Type: Client Hello (1)
Length: 187
Version: TLS 1.2 (0x0303)
Random: blah...blah...blah
Session ID Length: 0
Cipher Suites Length: 42
Cipher Suites (21 suites)
Compression Methods Length: 1
Compression Methods (1 method)
Extensions Length: 104
Extension: server_name (len=45)
Type: server_name (0)
Length: 45
Server Name Indication extension
Server Name list length: 43
Server Name Type: host_name (0)
Server Name length: 40
Server Name: <sni name shows up here>
如前所述,远程证书验证委托。这在验证服务器证书和 SNI 名称时由 SslStream 调用。在我们的实例中,我们确保服务器地址的结尾和 SNI 名称的结尾与通用名称 (CN) 匹配,但您可以进行任何您认为合适的验证。通过返回 true,失败返回 false,如果为 false,AuthenticateAsClient 将抛出异常。
private bool ValidateServerCertificate(
object sender
, X509Certificate certificate
, X509Chain chain
, SslPolicyErrors sslPolicyErrors)
{
// Do not allow this client to communicate with unauthenticated servers.
bool result = false;
switch (sslPolicyErrors)
{
case SslPolicyErrors.None:
result = true;
break;
case SslPolicyErrors.RemoteCertificateNameMismatch:
X509Certificate2 cert = new X509Certificate2(certificate);
string cn = cert.GetNameInfo(X509NameType.SimpleName, false);
string cleanName = cn.Substring(cn.LastIndexOf('*') + 1);
string[] addresses = { _serverAddress, _serverSNIName };
// if the ending of the sni and servername do match the common name of the cert, fail
result = addresses.Where(item => item.EndsWith(cleanName)).Count() == addresses.Count();
break;
default:
result = false;
break;
}
return result;
}
推荐阅读
- azure - EF Core Cosmos 3.1.3 额外调用
- html - 如何使用ui元素在行中居中图标
- c - 我了解到在 C 语言中 char 类型的范围是 -128 到 127,但看起来不是这样
- python - Pandas:GroupdBy 直到下一行具有不同的值
- google-cloud-platform - 当文件到达云存储时触发云 ml 上的训练任务
- stata - 使用 coefplot 绘制具有多个结果的特定固定效应变量
- node.js - 适用于 postgreSQL 的 AWS Lambda 函数 NodeJs - 超时错误
- windows - 删除具有特定扩展名的文件(特定文件除外)
- oop - Monolith,洋葱架构,多种数据库类型,如何从具有不同数据库类型的 2 个不同服务类中进行“事务”?
- sql - 将 nvarchar(255) 转换为日期 SQL