基于IP的反向代理TLS证书验证失败问题解决方案咨询

搭建了一台负载均衡器，它会查询指定服务器的IP地址并执行反向代理，实现代码如下：

func loadBalancer(w http.ResponseWriter, r *http.Request) {
    ip := getIP()

    proxy := httputil.ReverseProxy{
        Rewrite: func(proxyRequest *httputil.ProxyRequest) {
            proxyRequest.SetURL(&url.URL{
                Scheme: "https",
                Host:   ip.String(),
            })

            proxyRequest.Out.Host = proxyRequest.In.Host
        },
    }

    proxy.ServeHTTP(w, r)
}

该负载均衡器理论上可正常运行，但遇到了TLS证书验证问题：由于证书仅颁发给域名而非IP地址，导致验证失败，报错信息如下：

http: proxy error: tls: failed to verify certificate: x509: cannot validate certificate for <IP> because it doesn't contain any IP SANs

针对这个问题，有几种可行的解决思路，可根据实际场景选择：

1. 自定义TLS配置，指定证书验证的服务器名称（推荐） #

Go的httputil.ReverseProxy支持自定义Transport，你可以在Transport的TLS配置中设置ServerName为后端服务器的域名，让TLS握手时用该域名验证证书，而非连接的IP地址。

修改后的代码示例：

func loadBalancer(w http.ResponseWriter, r *http.Request) {
    ip := getIP()
    // 替换为后端服务器对应的真实域名
    targetDomain := "your-target-domain.com"

    // 自定义Transport，配置TLS验证规则
    transport := &http.Transport{
        TLSClientConfig: &tls.Config{
            ServerName: targetDomain,
            // 注意：请勿随意开启InsecureSkipVerify，仅测试环境临时使用
            // InsecureSkipVerify: true,
        },
    }

    proxy := httputil.ReverseProxy{
        Transport: transport,
        Rewrite: func(proxyRequest *httputil.ProxyRequest) {
            proxyRequest.SetURL(&url.URL{
                Scheme: "https",
                Host:   ip.String(),
            })

            proxyRequest.Out.Host = proxyRequest.In.Host
        },
    }

    proxy.ServeHTTP(w, r)
}

2. 直接使用域名进行代理 #

如果负载均衡器可以直接通过域名访问后端服务器，无需提前解析IP，直接将SetURL中的Host替换为域名即可。此时TLS验证会自动用域名匹配证书，不会触发IP SAN验证错误：

proxyRequest.SetURL(&url.URL{
    Scheme: "https",
    Host:   "your-target-domain.com", // 用域名代替IP
})

3. 为后端证书添加IP SAN（适用于可控后端证书的场景） #

如果你有权限管理后端服务器的证书，可以在申请或更新证书时，将后端服务器的IP地址添加到证书的IP SAN扩展字段中。这样负载均衡器通过IP连接时，TLS验证会识别到证书包含该IP，从而通过验证。

注意：此方法需要重新签发证书，且需确保所有访问该IP的客户端信任新证书。

4. 跳过证书验证（仅测试环境使用） #

生产环境绝对禁止使用，但测试或内部环境可临时设置InsecureSkipVerify: true绕过证书验证：

TLSClientConfig: &tls.Config{
    InsecureSkipVerify: true,
},

该操作会完全跳过TLS证书合法性校验，存在严重安全风险。

内容的提问来源于stack exchange，提问作者user1406177