黑毛到白毛的攻城獅之路: 在 JMeter 做 Mutual TLS 認證

2020年12月4日星期五

在 JMeter 做 Mutual TLS 認證

最近要跑壓力測試時，拿之前的腳本來改，結果改完後拋出 javax.net.ssl.SSLHandshakeException: Received fatal alert: certificate_required 的錯誤訊息，研究了一段時間，才發現應該是 mTLS 方面的問題…。

在手上已經有 key、certificate 以及 CA certificate 三個 PEM 檔案的情況下，如果是用 curl 的話，指令會長的像這樣：

curl --key key.pem --cert cert.pem --cacert cacert.pem $URL

不過在 JMeter 上，則有兩種作法。一種是如果 JMeter 有打開 GUI 的話，可以從 Options → SSL Manager 來指定。不過開 GUI 一般都只會用在還在寫 script 的階段，寫完正式要跑的時候，通常還是得用 CLI 模式，因此這時需要另外一種方法，也就是自己實際產生 Client Certificate 的 keystore 檔。

Keystore for Client Certificate

要產生 Client Certificate，需要用的工具就是 keytool，指令如下：

sudo openssl pkcs12 -export -name {name} -inkey {keyPath} -in {certPath} -out {keystorePath} -password {password} -noiter -nomaciter

其中各個參數的意義如下：

{name}：這應該是 key 的名字吧，在我們公司的狀況，這好像是必填，但在一般狀況似乎是可以不用給這個參數。
{keyPath}：key 的路徑。
{certPath}：certificate 的路徑。
{keystorePath}：要產生的 keystore 要放在哪裡。
{password}：keystore 的密碼。這裡有特殊的格式，如果是要直接在指令上指定，則格式必須是 pass:xxxx 這樣，例如如果密碼要設定為 12345，則要給 pass:1234。但由於這樣會讓 password 可能出現在機器上（像是 ps 可能會被看到），因此如果環境不是很安全的話，建議使用 stdin 這個值來手動輸入。

執行後，keystore 就會出現在指定的位置了。

啟動 JMeter

有了 keystore 後，因為 truststore 其實本來也有了（就是 CA certificate 那個 pem 檔），因此接著只需要在啟動 JMeter 時，讓它去吃那兩個檔就好了。其中如果你的 server 的 CA 本來就是公有的 CA，那可以不用自行指定 trustStore。

/bin/jmeter.sh \
  -D javax.net.ssl.keyStore={keyStorePath} \
  -D javax.net.ssl.keyStorePasswor={keyStorePassword} \
  -D javax.net.ssl.trustStore={trustStorePath} \
  -D javax.net.ssl.trustStorePassword={trustStorePassword}

其他相關資訊

JMeter 腳本裡使用的 HttpClient 實作，按照 JMeter 官方文件 [3] 的講法，是必須要用 HttpClient，否則會無法支援 KeyStore 的 Client Certification。
如果遇到的錯誤訊息是 javax.net.ssl.sslexception: closing inbound before receiving peer's close_notify 的話，原因好像有可能是 server 和 client 支援的 protocol 對不起來之類的？總之此時如果你的 JMeter 環境是跑在 Java 11 上，可以試著退回 Java 8。
不想每次執行 JMeter 時都要指定 keyStore/trustStore 的話，也可以直接把它寫在 JMeter 的 /bin/system.properties 裡。

參考資料

沒有留言:

張貼留言

2020年12月4日 星期五