Caddy 选择性 mTLS 实战：同一站点，内网强制客户端证书，外网照常访问

Caddy 选择性 mTLS 实战同一站点内网强制客户端证书外网照常访问【免费下载链接】caddyFast and extensible multi-platform HTTP/1-2-3 web server with automatic HTTPS项目地址: https://gitcode.com/GitHub_Trending/ca/caddy你运营一个网站既要给普通用户开普通 HTTPS又要让内部运维工具走 mTLS双向 TLS握手时服务器和客户端互相出示证书来防伪造。全局开 mTLS 最简单但普通用户的浏览器没有证书直接全军覆没。Caddy 的 TLS 连接策略正好解决这件事client_auth指令可以配合 SNI 域名、客户端 IP 等条件只对命中条件的连接索取并校验客户端证书其余连接不受影响。原理速览Caddy 默认不向客户端要任何证书。打开开关的是tls指令里的client_auth它有两种放法直接写在tls块里对本站点所有连接生效或放进connection_policy里并挂上match条件只对匹配的连接生效。多条连接策略按定义顺序首个命中生效所以选择性本质就是条件策略 未命中即默认不验证书。具体实现见 modules/caddytls/ 目录。前置条件 Caddy 2.x建议 2.8用caddy version确认你自己的 CA 根证书PEM 格式例如放到/etc/caddy/caddy.ca.cer由该 CA 签发的客户端证书与私钥如client.crt/client.key本机装有 curl用于模拟不同客户端做握手测试# 快速确认环境 caddy version openssl verify -CAfile /etc/caddy/caddy.ca.cer client.crt # 应输出 client.crt: OK配置实战最小可用配置先让功能跑起来服务器只接受带证书且验过的连接。把client_auth直接写进tls块对本站点全部连接生效https://internal.example.com { tls /etc/caddy/server.crt /etc/caddy/server.key { # 显式指定服务器证书 client_auth { mode require_and_verify # 无有效证书直接拒绝 trust_pool file { pem_file /etc/caddy/caddy.ca.cer # 信任池你自己的 CA } } } respond Hello from mTLS }mode有四个档位request要证书但不验、require要但不验真伪、verify_if_given给了就验不给也放行、require_and_verify给了且必须验过。配了trust_pool不写mode时默认就是require_and_verify。按条件精细控制同一个域名既要服务内网又要对外时把要求挪进connection_policy并加match条件。下面只对办公网段强制证书外部流量不命中任何策略照常握手https://example.com { tls { connection_policy { match { # 也可以换成 sni internal.example.com按域名或 sni_regexp正则 remote_ip 10.0.0.0/8 172.16.0.0/12 192.168.0.0/16 } client_auth { mode require_and_verify trust_pool file { pem_file /etc/caddy/caddy.ca.cer } } } } respond Hello }策略按定义顺序匹配、首个命中生效所以最具体的规则放最上面。match里还支持local_ip按服务器本地接口 IP和sni_regexp正则匹配域名解析逻辑在 modules/caddytls/matchers.go。效果验证 先跑caddy adapt --config Caddyfile --pretty确认语法无误并检查生成的 JSON 里client_authentication字段位置是否符合预期。然后分别模拟不同客户端场景命令预期结果无客户端证书全局 mTLS 站点curl -v --cacert caddy.ca.cer https://internal.example.com握手被拒提示需要客户端证书携带有效证书curl --cert client.crt --key client.key --cacert caddy.ca.cer https://internal.example.com返回Hello from mTLS外部 IP 访问connection_policy 站点curl https://example.com正常返回不要求证书内网 IP 访问connection_policy 站点同上一条不带--cert握手被拒带上证书则成功排障清单 ⚠️现象握手直接失败日志报证书校验错误→ 常见原因客户端证书不是该 CA 签的或trust_pool路径写错 → 处理先用openssl verify在本地确认证书链再核对pem_file路径。现象所有访客都要证书但只想限制一部分→ 常见原因client_auth写在了tls块外层等于全局开启 → 处理移入connection_policy并补上match条件。现象配置的策略不生效→ 常见原因连接策略首个命中生效前面的策略已匹配走该连接 → 处理把更具体的策略挪到更靠前的位置。现象adapt 报 client auth mode not recognized→ 常见原因mode值拼错 → 处理只能是request/require/verify_if_given/require_and_verify四选一。更多解析细节可参考 modules/caddytls/connpolicy.go测试用例 caddytest/integration/caddyfile_adapt/tls_client_auth_cert_file.caddyfiletest 里有一份最小可运行示例。快速参考 ⚡配置项作用默认值client_auth开启客户端证书认证未配置则不索取证书mode认证强度四个档位配了信任池为require_and_verify否则requiretrust_pool指定可信 CA 来源file/inline无match策略命中条件remote_ip/sni/sni_regexp/local_ip不写则策略匹配全部连接connection_policy承载条件策略首个命中生效无下一步建议证书验证通过还不够的在 HTTP 路由里用{tls.remote_cert.*}占位符读取客户端证书主体按身份做二次路由需要吊销或白名单能力时给client_auth追加verifier leaf模块对叶子证书做额外校验。【免费下载链接】caddyFast and extensible multi-platform HTTP/1-2-3 web server with automatic HTTPS项目地址: https://gitcode.com/GitHub_Trending/ca/caddy创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考