如何让 SSL 与 .net core 和 Google Compute Engine 一起使用？

Question

我有一个带有以下 dockerfile 的 .net 核心 API 项目：

FROM mcr.microsoft.com/dotnet/aspnet:5.0.0-buster-slim AS base
WORKDIR /app
EXPOSE 443
FROM mcr.microsoft.com/dotnet/sdk:5.0 AS build
WORKDIR /src
COPY ["API/API.csproj", ""]
RUN dotnet restore "./API.csproj"
COPY . .
WORKDIR "/src/."
RUN dotnet build "API/API.csproj" -c Release -o /app/build
FROM build AS publish
RUN dotnet publish "API/API.csproj" -c Release -o /app/publish
FROM base AS final
WORKDIR /app
COPY --from=publish /app/publish .
ENTRYPOINT ["dotnet", "API.dll"]

我已成功将此图像推送到 Google Cloud Artifact Registry 并使用它创建了一个 Google Cloud Compute Engine 实例。我只使用 https 进行了设置，但无法调用它。邮递员说错误：连接 ECONNREFUSED XX.XXX.XXX.X:443。如果我仅从 https 切换到 http，我可以访问该实例并且它按预期工作，但当然不那么安全，所以我不想坚持使用它。它设置了一个静态 IP，以便我可以将我的子域指向它。我错过了什么？

Answer 1

您的问题可能与您的容器 HTTPS 配置有关。

在描述 how to develop ASP.NET Core Applications with Docker over HTTPS 和 Hosting ASP.NET Core images with Docker Compose over HTTPS 时，请考虑查看 Microsoft 提供的文档。这个related question 也会有帮助。

基本上，您需要提供不同的环境配置属性，分别定义对您的应用程序有效的 URL、HTTPS 侦听端口、要使用的 SSL 证书的路径以及保护该证书的密码：

ASPNETCORE_URLS="https://+;http://+"
ASPNETCORE_HTTPS_PORT=8001
ASPNETCORE_Kestrel__Certificates__Default__Password="password"
ASPNETCORE_Kestrel__Certificates__Default__Path=\https\aspnetapp.pfx

如GCP documentation 中所述，您可以使用 GCP Web 控制台或gcloud CLI 提供此环境信息，在后一种情况下使用--container-env 或--container-env-file 标志。

如aforementioned SO question 中所述，我认为您也可以利用多阶段 Docker 构建过程来传递此环境信息。

由于containers deployed in Compute Engine share the host network，请确保您已配置必要的firewall rules 以允许访问您的容器端口。

为了从您的容器中访问您的证书，我认为您可能有两种选择。

一方面，您可以在映像中包含证书作为构建过程的一部分。它有一个明显的缺点，它会使证书更容易访问，它是一个不太安全的解决方案，尽管如果您将图像部署到非公共存储库，它可以得到缓解；此外，考虑到您仍然需要 pfx 的密码，因此请谨慎使用，这可能是一个有效的解决方案。

此外，如GCP documentation 中所述，您可以挂载主机目录并将其作为卷访问您的容器，并将证书存储在该目录中。在某些图像中，为了使分发过程自动化，您可以使用--metadata flag 和startup-script 密钥来提供有关如何访问证书的必要信息。但是......首先在哪里获得证书？理想情况下，它可能以加密形式存储在 Google KMS 中，或者可能存储在 Google Secrets 中。例如在this article 中建议使用这种方法，尽管我个人从未尝试过。

话虽如此，在我看来，与其尝试自定义您的容器，更好的解决方案是在您的虚拟机前配置一个HTTPS load balancer：除了高可用性和可扩展性、易于维护等之外，关于 HTTPS 配置，您只需在配置负载均衡器前端时提供您的证书详细信息；如有必要，您也可以申请 Google 管理的证书。

请注意，如果您遵循第二个选项，则不再需要在应用程序本身中配置 HTTPS，它可以安全地在端口 80 上运行。这个想法是将 HTTPS 处理委托给负载均衡器，并使用负载均衡器前端来提供 SSL 终止，从而将您的应用程序从该责任中解放出来。

Answer 2

你必须告诉 docker 镜像的网络服务器运行 asp.net 应用程序以使用 https 协议。

您应该通过使用以下值https://+;http://+ 注入环境变量ASPNETCORE_URLS 来实现这一点。

有关此环境变量的更多信息，请参阅docs