Node TLS客户端仅在Docker环境自动发送close notify消息

问题概述 #

开发Node.js TLS客户端连接远程主机时，裸机环境下TLS连接正常，但在Docker容器内运行时，TLS握手完成后，客户端会在收到服务器第一条消息前立即发送close notify告警消息，导致连接意外关闭。TCP连接在两种环境下均能正常建立。

客户端代码片段 #

const socket = tls.connect(
  {
    host: host,
    port: port,
    cert: certificate,
    key: key
  },
  () => {
    logger.info('client connected', socket.authorized ? 'authorized' : 'unauthorized');

    // 通知用户已连接的业务逻辑

    process.stdin.pipe(socket);
    process.stdin.resume();
  }
);

socket.on('data', (data: Buffer) => {
  // 在此处理从服务器接收的数据
});

socket.on('error', () => {
  // 通知用户连接出错的业务逻辑。连接关闭时不会调用此回调
});

socket.on('close', hadError => {
  // 通知用户连接已关闭的业务逻辑。调用此回调时hadError为false
});

TLS日志关键分析 #

从socket.enableTrace()输出的日志可见：

1. TLS握手流程完整完成，客户端发送CertificateVerify和Finished消息后，触发secureConnect事件
2. 客户端发送一段ApplicationData后，立即发送close notify告警
3. 服务器随后返回业务数据和确认的close notify，但此时客户端已主动关闭连接

环境差异 #

• 裸机：Ubuntu 22.04，OpenSSL v3
• Docker：官方Node镜像（基于Debian，OpenSSL v1）/自定义OpenSSL v3镜像
• Docker Compose已正确暴露并发布TLS端口

排查与解决方案 #

1. 修复process.stdin在Docker内的异常行为 #

Docker容器默认无交互式终端，process.stdin处于关闭状态。代码中直接将process.stdin.pipe(socket)会触发socket的关闭逻辑（因为流关闭会传递到目标socket）。

修复方法：
在secureConnect回调中判断process.stdin状态，仅在可用时进行pipe操作，或替换为业务所需的输入逻辑：

() => {
  logger.info('client connected', socket.authorized ? 'authorized' : 'unauthorized');
  
  // 仅在stdin可用时执行pipe
  if (!process.stdin.destroyed) {
    process.stdin.pipe(socket);
    process.stdin.resume();
  } else {
    // 替换为业务初始化逻辑，比如发送固定消息保持连接
    socket.write('client_init');
  }
}

也可在运行Docker容器时添加交互式参数-it临时验证此问题。

2. 统一Node.js版本 #

裸机与Docker内的Node.js版本差异可能导致TLS实现行为不一致。确保Docker镜像使用与裸机相同的Node版本，例如指定镜像标签node:18-bullseye匹配本地18.x版本。

3. 显式配置TLS证书信任 #

避免依赖NODE_TLS_REJECT_UNAUTHORIZED=0，显式将自签名证书加入信任列表：

tls.connect({
  host: host,
  port: port,
  cert: certificate,
  key: key,
  ca: [certificate] // 信任自签名证书
})

同时可尝试禁用TLS会话复用，避免缓存问题：

tls.connect({
  // ...其他配置
  session: false
})

4. 调整Docker网络MTU #

Docker默认MTU为1500，若与裸机网络MTU差异较大，可能导致TLS数据包分片异常。在Docker Compose中设置MTU：

networks:
  default:
    driver: bridge
    driver_opts:
      com.docker.network.driver.mtu: 1450

内容的提问来源于stack exchange，提问作者Cirex