nanomsg / NNG 消息库完全教程 / 第 7 章：TLS 与安全通信

# 安装 mbedTLS
sudo apt install -y libmbedtls-dev

# 编译 NNG
cd nng/build
cmake .. -DCMAKE_BUILD_TYPE=Release \
         -DNNG_ENABLE_TLS=ON \
         -DNNG_TLS_ENGINE=mbedtls
make -j$(nproc)
sudo make install

# 安装 OpenSSL
sudo apt install -y libssl-dev

# 编译 NNG
cd nng/build
cmake .. -DCMAKE_BUILD_TYPE=Release \
         -DNNG_ENABLE_TLS=ON \
         -DNNG_TLS_ENGINE=openssl
make -j$(nproc)
sudo make install

#include <stdio.h>
#include <nng/nng.h>

int main() {
    // 尝试创建 TLS 拨号器来验证 TLS 是否可用
    nng_socket sock;
    nng_dialer dialer;
    int rv;

    nng_pair0_open(&sock);
    rv = nng_dialer_create(&dialer, sock);
    if (rv == 0) {
        printf("NNG TLS support: OK\n");
    }
    nng_close(sock);
    return 0;
}

# 生成 CA 私钥
openssl genrsa -out ca.key 4096

# 生成 CA 自签名证书
openssl req -new -x509 -days 3650 -key ca.key -out ca.crt \
    -subj "/CN=MyCA/O=MyOrg"

# 生成服务端私钥
openssl genrsa -out server.key 2048

# 生成服务端证书签名请求（CSR）
openssl req -new -key server.key -out server.csr \
    -subj "/CN=localhost/O=MyOrg"

# 使用 CA 签发服务端证书
openssl x509 -req -days 365 -in server.csr \
    -CA ca.crt -CAkey ca.key -CAcreateserial \
    -out server.crt

# 生成客户端私钥（用于 mTLS）
openssl genrsa -out client.key 2048

# 生成客户端 CSR
openssl req -new -key client.key -out client.csr \
    -subj "/CN=client/O=MyOrg"

# 使用 CA 签发客户端证书
openssl x509 -req -days 365 -in client.csr \
    -CA ca.crt -CAkey ca.key -CAcreateserial \
    -out client.crt

#include <nng/nng.h>
#include <nng/transport/tls/tls.h>
#include <nng/protocol/reqrep0/rep.h>
#include <stdio.h>
#include <string.h>

int main() {
    nng_socket sock;
    nng_listener listener;
    int rv;

    // 创建 REP Socket
    if ((rv = nng_rep0_open(&sock)) != 0) {
        fprintf(stderr, "nng_rep0_open: %s\n", nng_strerror(rv));
        return 1;
    }

    // 创建 TLS 配置
    nng_tls_config *tls;
    if ((rv = nng_tls_config_alloc(&tls, NNG_TLS_MODE_SERVER)) != 0) {
        fprintf(stderr, "nng_tls_config_alloc: %s\n", nng_strerror(rv));
        return 1;
    }

    // 加载服务端证书和私钥
    if ((rv = nng_tls_config_own_cert(tls, "server.crt", "server.key", NULL)) != 0) {
        fprintf(stderr, "nng_tls_config_own_cert: %s\n", nng_strerror(rv));
        return 1;
    }

    // 加载 CA 证书（用于验证客户端，可选）
    if ((rv = nng_tls_config_ca_file(tls, "ca.crt")) != 0) {
        fprintf(stderr, "nng_tls_config_ca_file: %s\n", nng_strerror(rv));
        return 1;
    }

    // 创建 Listener
    if ((rv = nng_listener_create(&listener, sock)) != 0) {
        fprintf(stderr, "nng_listener_create: %s\n", nng_strerror(rv));
        return 1;
    }

    // 将 TLS 配置应用到 Listener
    if ((rv = nng_listener_setopt(listener, NNG_OPT_TLS_CONFIG, tls, sizeof(tls))) != 0) {
        fprintf(stderr, "nng_listener_setopt: %s\n", nng_strerror(rv));
        return 1;
    }

    // 启动监听
    if ((rv = nng_listener_start(listener, 0)) != 0) {
        fprintf(stderr, "nng_listener_start: %s\n", nng_strerror(rv));
        return 1;
    }

    printf("TLS server listening on tls+tcp://0.0.0.0:4444\n");

    // 消息循环
    while (1) {
        char *buf = NULL;
        size_t sz;
        if (nng_recv(sock, &buf, &sz, NNG_FLAG_ALLOC) == 0) {
            printf("Received: %.*s\n", (int)sz, buf);
            nng_free(buf, sz);

            const char *reply = "OK (encrypted)";
            nng_send(sock, (void *)reply, strlen(reply), 0);
        }
    }

    nng_tls_config_free(tls);
    nng_close(sock);
    return 0;
}

#include <nng/nng.h>
#include <nng/transport/tls/tls.h>
#include <nng/protocol/reqrep0/req.h>
#include <stdio.h>
#include <string.h>

int main() {
    nng_socket sock;
    nng_dialer dialer;
    int rv;

    if ((rv = nng_req0_open(&sock)) != 0) {
        fprintf(stderr, "nng_req0_open: %s\n", nng_strerror(rv));
        return 1;
    }

    // 创建 TLS 配置
    nng_tls_config *tls;
    if ((rv = nng_tls_config_alloc(&tls, NNG_TLS_MODE_CLIENT)) != 0) {
        fprintf(stderr, "nng_tls_config_alloc: %s\n", nng_strerror(rv));
        return 1;
    }

    // 加载 CA 证书（验证服务端身份）
    if ((rv = nng_tls_config_ca_file(tls, "ca.crt")) != 0) {
        fprintf(stderr, "nng_tls_config_ca_file: %s\n", nng_strerror(rv));
        return 1;
    }

    // 创建 Dialer
    if ((rv = nng_dialer_create(&dialer, sock)) != 0) {
        fprintf(stderr, "nng_dialer_create: %s\n", nng_strerror(rv));
        return 1;
    }

    // 将 TLS 配置应用到 Dialer
    if ((rv = nng_dialer_setopt(dialer, NNG_OPT_TLS_CONFIG, tls, sizeof(tls))) != 0) {
        fprintf(stderr, "nng_dialer_setopt: %s\n", nng_strerror(rv));
        return 1;
    }

    // 启动连接
    if ((rv = nng_dialer_start(dialer, 0)) != 0) {
        fprintf(stderr, "nng_dialer_start: %s\n", nng_strerror(rv));
        return 1;
    }

    printf("Connected to TLS server\n");

    // 发送请求
    const char *msg = "Hello, TLS!";
    nng_send(sock, (void *)msg, strlen(msg), 0);

    // 接收响应
    char *buf = NULL;
    size_t sz;
    if (nng_recv(sock, &buf, &sz, NNG_FLAG_ALLOC) == 0) {
        printf("Reply: %.*s\n", (int)sz, buf);
        nng_free(buf, sz);
    }

    nng_tls_config_free(tls);
    nng_close(sock);
    return 0;
}

// 在服务端 TLS 配置中添加：
// 1. 加载 CA 证书
nng_tls_config_ca_file(tls, "ca.crt");

// 2. 设置验证模式为 REQUIRED（必须验证客户端证书）
nng_tls_config_auth_mode(tls, NNG_TLS_AUTH_MODE_REQUIRED);

// 在客户端 TLS 配置中添加：
// 1. 加载客户端证书和私钥
nng_tls_config_own_cert(tls, "client.crt", "client.key", NULL);

// 2. 加载 CA 证书（验证服务端）
nng_tls_config_ca_file(tls, "ca.crt");

#include <nng/nng.h>
#include <nng/transport/tls/tls.h>
#include <nng/protocol/reqrep0/rep.h>
#include <stdio.h>
#include <string.h>

int main() {
    nng_socket sock;
    nng_listener listener;
    nng_tls_config *tls;
    int rv;

    nng_rep0_open(&sock);

    // 创建 TLS 配置（服务端模式）
    nng_tls_config_alloc(&tls, NNG_TLS_MODE_SERVER);

    // 加载服务端证书
    nng_tls_config_own_cert(tls, "server.crt", "server.key", NULL);

    // 加载 CA 证书
    nng_tls_config_ca_file(tls, "ca.crt");

    // 要求客户端证书（mTLS）
    nng_tls_config_auth_mode(tls, NNG_TLS_AUTH_MODE_REQUIRED);

    // 应用配置
    nng_listener_create(&listener, sock);
    nng_listener_setopt(listener, NNG_OPT_TLS_CONFIG, tls, sizeof(tls));

    if ((rv = nng_listener_start(listener, 0)) != 0) {
        fprintf(stderr, "Listen error: %s\n", nng_strerror(rv));
        return 1;
    }

    printf("mTLS server on tls+tcp://0.0.0.0:4444\n");

    // 消息循环
    while (1) {
        char *buf = NULL;
        size_t sz;
        if (nng_recv(sock, &buf, &sz, NNG_FLAG_ALLOC) == 0) {
            printf("Received: %.*s\n", (int)sz, buf);
            nng_free(buf, sz);
            nng_send(sock, "OK", 2, 0);
        }
    }

    nng_tls_config_free(tls);
    nng_close(sock);
    return 0;
}

#include <nng/nng.h>
#include <nng/transport/ws/websocket.h>
#include <nng/transport/tls/tls.h>
#include <nng/protocol/pubsub0/pub.h>
#include <stdio.h>

int main() {
    nng_socket sock;
    nng_listener listener;
    nng_tls_config *tls;
    int rv;

    nng_pub0_open(&sock);

    // TLS 配置
    nng_tls_config_alloc(&tls, NNG_TLS_MODE_SERVER);
    nng_tls_config_own_cert(tls, "server.crt", "server.key", NULL);

    // 创建 WSS Listener
    nng_listener_create(&listener, sock);
    nng_listener_setopt(listener, NNG_OPT_TLS_CONFIG, tls, sizeof(tls));

    // 使用 wss:// 协议
    if ((rv = nng_listener_start(listener, 0)) != 0) {
        fprintf(stderr, "nng_listener_start: %s\n", nng_strerror(rv));
        return 1;
    }

    printf("WSS server listening\n");

    // 发布消息
    while (1) {
        const char *msg = "Hello from WSS!";
        nng_send(sock, (void *)msg, strlen(msg), 0);
        sleep(1);
    }

    nng_tls_config_free(tls);
    nng_close(sock);
    return 0;
}

// 浏览器中使用 WebSocket 连接 NNG WSS 服务
const ws = new WebSocket('wss://localhost:443/data');

ws.onopen = function() {
    console.log('Connected to NNG WSS server');
};

ws.onmessage = function(event) {
    console.log('Received:', event.data);
};

ws.onerror = function(error) {
    console.error('WebSocket error:', error);
};

// 设置最低 TLS 版本为 1.2
nng_tls_config_version(tls, NNG_TLS_1_2, NNG_TLS_1_3);

// 仅允许 TLS 1.3
nng_tls_config_version(tls, NNG_TLS_1_3, NNG_TLS_1_3);

// 客户端设置 SNI 主机名
nng_tls_config_server_name(tls, "myserver.example.com");

// 用于服务端使用虚拟主机时区分证书

// 方法：创建新的 TLS 配置，替换旧配置
void reload_certificates(nng_listener listener) {
    nng_tls_config *new_tls;

    nng_tls_config_alloc(&new_tls, NNG_TLS_MODE_SERVER);
    nng_tls_config_own_cert(new_tls, "server_new.crt", "server_new.key", NULL);
    nng_tls_config_ca_file(new_tls, "ca.crt");

    // 更新 Listener 的 TLS 配置
    nng_listener_setopt(listener, NNG_OPT_TLS_CONFIG, new_tls, sizeof(new_tls));

    printf("Certificates reloaded\n");
}

#!/bin/bash
# rotate_certs.sh —— 证书轮换脚本

CERT_DIR="/etc/nng/certs"
DAYS_BEFORE_EXPIRY=30

# 检查证书是否即将过期
check_expiry() {
    local cert="$1"
    local expiry=$(openssl x509 -enddate -noout -in "$cert" | cut -d= -f2)
    local expiry_epoch=$(date -d "$expiry" +%s)
    local now_epoch=$(date +%s)
    local days_left=$(( (expiry_epoch - now_epoch) / 86400 ))

    if [ $days_left -lt $DAYS_BEFORE_EXPIRY ]; then
        echo "Certificate $cert expires in $days_left days. Renewing..."
        return 0
    fi
    return 1
}

# 轮换证书
rotate_cert() {
    # 使用 certbot 或内部 CA 生成新证书
    certbot renew --cert-name myserver.example.com

    # 复制到 NNG 证书目录
    cp /etc/letsencrypt/live/myserver.example.com/fullchain.pem $CERT_DIR/server.crt
    cp /etc/letsencrypt/live/myserver.example.com/privkey.pem $CERT_DIR/server.key

    # 通知应用重新加载（发送 SIGHUP 或 IPC 命令）
    pkill -HUP my_nng_server
}

if check_expiry "$CERT_DIR/server.crt"; then
    rotate_cert
fi

// 生产环境 TLS 配置检查清单
nng_tls_config *tls;
nng_tls_config_alloc(&tls, NNG_TLS_MODE_SERVER);

// ✅ 使用强证书
nng_tls_config_own_cert(tls, "server.crt", "server.key", NULL);

// ✅ 设置最低 TLS 版本
nng_tls_config_version(tls, NNG_TLS_1_2, NNG_TLS_1_3);

// ✅ 启用 mTLS（内部服务）
nng_tls_config_auth_mode(tls, NNG_TLS_AUTH_MODE_REQUIRED);

// ✅ 加载 CA 证书
nng_tls_config_ca_file(tls, "ca.crt");