使用自签名证书的Node.js Express实例配置AWS ELB证书透传问题咨询

嘿，我来帮你解决这个头疼的问题！要让ELB把客户端的原始证书转发给私有子网里的Express实例，光靠ELB的SSL代理策略肯定不够，Express端确实需要做代码修改，不过咱们得先把ELB的配置捋顺，不然代码改了也白搭。

第一步：先把ELB的配置搞对 #

首先得明确你用的是哪种负载均衡器，ALB和NLB的证书转发逻辑完全不同：

• Application Load Balancer (ALB)：ALB本身会终止SSL连接，没法直接透传原始TLS流量，但它可以把客户端的证书信息塞进请求头里转发给后端。你得在ALB的HTTPS监听器设置里，开启「Forward client certificates」选项，这样ALB就会把客户端证书的PEM格式内容放到X-SSL-CERT这个请求头里，发给你的Express实例。
• Network Load Balancer (NLB)：NLB支持SSL透传（SSL Passthrough），也就是它不碰SSL连接，直接把原始的TLS流量转发给后端。这种情况下，你的Express实例得自己处理TLS握手，所以要确保NLB的目标组是把流量转发到实例的443端口（HTTPS），而不是80端口。

你之前说用SSL代理策略没成功，大概率是选错了ELB类型，或者监听器/目标组的配置没到位。

第二步：Express端的代码调整 #

根据你用的ELB类型，代码改法不一样：

如果你用的是ALB（通过请求头转发证书） #

这种情况下，ALB已经帮你终止了SSL，后端的Express可以跑在HTTP端口上，只需要读取X-SSL-CERT请求头里的证书内容就行：

const express = require('express');
const { X509Certificate } = require('crypto');

const app = express();

app.get('/', (req, res) => {
  // 从请求头里拿ALB转发的客户端证书
  const clientCertPem = req.headers['x-ssl-cert'];
  if (!clientCertPem) {
    return res.status(400).send('没提供客户端证书哦');
  }

  // 解析并验证证书（因为是自签名，你得自己写验证逻辑，比如检查证书指纹）
  try {
    const cert = new X509Certificate(clientCertPem);
    res.send(`客户端证书信息：
      主体：${cert.subject}
      签发者：${cert.issuer}
      有效期从：${cert.validFrom}
      有效期到：${cert.validTo}`);
  } catch (err) {
    res.status(400).send('无效的客户端证书');
  }
});

app.listen(80, () => {
  console.log('Express服务跑在80端口啦');
});

如果你用的是NLB（SSL透传） #

这种情况下，NLB直接把TLS流量甩给后端，所以Express得自己搭HTTPS服务器，并且在握手时要求客户端提供证书：

const express = require('express');
const https = require('https');
const fs = require('fs');

const app = express();

app.get('/', (req, res) => {
  // 从TLS连接里拿客户端证书
  const clientCert = req.socket.getPeerCertificate();
  if (!clientCert || !clientCert.subject) {
    return res.status(400).send('没有有效的客户端证书');
  }

  // 验证证书（比如检查证书指纹是否在允许列表里，自签名证书得这么搞）
  const allowedFingerprints = ['你的客户端证书指纹'];
  const certFingerprint = clientCert.fingerprint256;
  if (!allowedFingerprints.includes(certFingerprint)) {
    return res.status(403).send('这个客户端证书没权限哦');
  }

  res.send(`已通过证书认证：${clientCert.subject.CN}`);
});

// 配置HTTPS服务器，开启客户端证书要求
const server = https.createServer({
  key: fs.readFileSync('你的私钥文件.pem'),
  cert: fs.readFileSync('你的自签名证书.pem'),
  requestCert: true, // 要求客户端提供证书
  rejectUnauthorized: true, // 拒绝无效证书（生产环境建议开，测试可以关）
  ca: fs.readFileSync('你的CA证书.pem') // 信任的CA，自签名的话就用自己的CA证书
}, app);

server.listen(443, () => {
  console.log('带客户端证书认证的HTTPS服务跑在443端口啦');
});

踩坑小贴士 #

• 用ALB的话，一定要确保监听器是HTTPS协议，并且已经开启了「Forward client certificates」，目标组的协议可以是HTTP或者HTTPS（如果是HTTPS，后端得自己处理SSL）。
• 用NLB的话，目标组的协议必须是TLS，而且实例的安全组要允许NLB访问443端口。
• 自签名证书的坑：如果后端拒绝客户端的自签名证书，要么把客户端的CA证书加到Express的ca配置里，要么临时关掉rejectUnauthorized（但生产环境绝对别这么干！）。

内容的提问来源于stack exchange，提问作者adimb1