Go应用部署AWS ECS Fargate后Autocert报'missing server name'错误求助

问题根源 #

AWS目标组的健康检查请求通过IP直接访问容器，未携带SNI（服务器名称指示），而Go的autocert包要求TLS握手时必须提供有效域名（用于申请/匹配Let's Encrypt证书），因此触发missing server name错误。

可行解决方案 #

1. 让ALB终止TLS（推荐，AWS最佳实践） #

将TLS加密终止在应用负载均衡（ALB），容器内部仅处理HTTP请求，彻底规避容器侧的TLS配置问题：

• 在AWS证书管理器（ACM）为你的域名申请免费SSL证书，绑定到ALB的HTTPS监听器。
• 配置ALB的HTTPS监听器（443端口）转发到目标组的HTTP端口（比如8080）。
• 修改Go应用，移除autocert相关代码，直接启动HTTP服务：

  mux := http.NewServeMux()
  // 注册业务路由和健康检查端点
  mux.HandleFunc("/health", func(w http.ResponseWriter, r *http.Request) {
      w.WriteHeader(http.StatusOK)
      w.Write([]byte("ok"))
  })
  log.Fatal(http.ListenAndServe(":8080", mux))
  

• 更新ECS任务定义，暴露8080端口，目标组健康检查配置为HTTP协议、8080端口、/health路径。

2. 为健康检查单独设置HTTP端口 #

在应用中同时监听一个非TLS的HTTP端口，专门用于健康检查：

• 在Go应用中启动单独goroutine运行HTTP服务处理健康检查：

  // 健康检查专用HTTP服务
  go func() {
      http.HandleFunc("/health", func(w http.ResponseWriter, r *http.Request) {
          w.WriteHeader(http.StatusOK)
          w.Write([]byte("ok"))
      })
      if err := http.ListenAndServe(":8081", nil); err != nil {
          log.Printf("health check server failed: %v", err)
      }
  }()
  
  // 主业务TLS服务
  certManager := autocert.Manager{
      Prompt:        autocert.AcceptTOS,
      Cache:         autocert.DirCache("/var/www/.cache"),
      HostPolicy:    autocert.HostWhitelist("your-domain.com"),
  }
  mux := http.NewServeMux()
  // 注册业务路由...
  server := &http.Server{
      Addr:      ":443",
      TLSConfig: &tls.Config{GetCertificate: certManager.GetCertificate},
      Handler:   mux,
  }
  log.Fatal(server.ListenAndServeTLS("", ""))
  

• 更新ECS任务定义，添加8081端口的暴露配置。
• 修改目标组健康检查：协议设为HTTP，端口8081，路径/health。

3. 自定义autocert逻辑兼容IP访问（应急方案，不推荐） #

通过自定义HostPolicy和证书获取逻辑，允许健康检查的IP访问，但需处理自签名证书问题：

• 自定义HostPolicy，允许你的域名和健康检查相关IP：

  certManager := autocert.Manager{
      Prompt: autocert.AcceptTOS,
      Cache:  autocert.DirCache("/var/www/.cache"),
      HostPolicy: func(ctx context.Context, host string) error {
          allowed := map[string]bool{
              "your-domain.com": true,
              "10.0.100.184": true, // 健康检查的客户端IP
          }
          if allowed[host] {
              return nil
          }
          return fmt.Errorf("acme/autocert: host not allowed: %s", host)
      },
  }
  

• 重写GetCertificate方法，当请求来自IP时返回预先生成的自签名证书：

  // 预加载自签名IP证书（需提前生成）
  func loadSelfSignedCertForIP(ip string) (*tls.Certificate, error) {
      certData, err := os.ReadFile("/path/to/ip-cert.pem")
      if err != nil {
          return nil, err
      }
      keyData, err := os.ReadFile("/path/to/ip-key.pem")
      if err != nil {
          return nil, err
      }
      return tls.X509KeyPair(certData, keyData)
  }
  
  // 替换原证书获取逻辑
  originalGetCert := certManager.GetCertificate
  certManager.GetCertificate = func(hello *tls.ClientHelloInfo) (*tls.Certificate, error) {
      if net.ParseIP(hello.ServerName) != nil {
          return loadSelfSignedCertForIP(hello.ServerName)
      }
      return originalGetCert(hello)
  }
  

• 注意：AWS目标组的HTTPS健康检查默认会验证证书有效性，自签名证书会导致检查失败，需在目标组配置中关闭证书验证（部分场景支持），这会降低安全性，因此仅作为临时应急方案。

内容的提问来源于stack exchange，提问作者Srinivas