如何用asyncio实现TLS连接嵌套（将TLS连接包裹于TLS连接中）

你的核心问题是当前代码里的两层TLS连接完全独立——inner_tls_client直接新建了一个TCP+TLS连接，根本没有利用外层已建立的TLS通道传输流量。要实现真正的嵌套，必须让内层TLS的所有数据通过外层TLS连接来转发。

解决方案：用asyncio.start_tls基于外层连接建立内层TLS #

asyncio.start_tls可以在已有的字节流（这里就是外层TLS连接的StreamReader/StreamWriter）之上启动新的TLS会话，完美实现TLS嵌套。

修改后的完整代码 #

import asyncio
import ssl

# 替换为实际的服务器地址
outer_server_host = "outer.example.com"
outer_server_port = 443
inner_server_host = "inner.example.com"

async def inner_tls_client(outer_reader, outer_writer):
    inner_ssl_context = ssl.create_default_context(ssl.Purpose.SERVER_AUTH)
    # 在外层连接的基础上启动内层TLS会话
    inner_reader, inner_writer = await asyncio.start_tls(
        reader=outer_reader,
        writer=outer_writer,
        ssl=inner_ssl_context,
        server_hostname=inner_server_host  # 内层服务器的SNI，必须匹配证书域名
    )

    try:
        data = b"Hello, Inner Server!"
        inner_writer.write(data)
        await inner_writer.drain()

        received_data = await inner_reader.read(100)
        print(f"Received from Inner Server: {received_data.decode()}")

    finally:
        inner_writer.close()
        await inner_writer.wait_closed()


async def outer_tls_client():
    outer_ssl_context = ssl.create_default_context(ssl.Purpose.SERVER_AUTH)

    outer_reader, outer_writer = await asyncio.open_connection(
        host=outer_server_host,
        port=outer_server_port,
        ssl=outer_ssl_context
    )

    try:
        # 处理外层服务器的初始响应（如果有）
        received_data = await outer_reader.read(100)
        print(f"Received from Outer Server: {received_data.decode()}")

        # 传递外层连接给内层客户端，实现嵌套
        await inner_tls_client(outer_reader, outer_writer)

    finally:
        outer_writer.close()
        await outer_writer.wait_closed()

if __name__ == "__main__":
    asyncio.run(outer_tls_client())

关键注意事项 #

• 外层服务器需透传流量：外层服务器必须将收到的所有数据原封不动转发给内层服务器，同时把内层服务器的响应回传给客户端，否则内层TLS握手会因数据丢失失败。
• SNI配置正确：内层server_hostname必须和内层服务器的SSL证书域名一致，否则会触发TLS验证错误。
• 连接生命周期管理：关闭内层TLS连接后，外层连接也会被关闭（因为共享同一个底层传输），无需重复关闭。

内容的提问来源于stack exchange，提问作者Rachel91