如何存储ssl session到redis中

houwenhui199011 · 2016-10-20T14:55:30+00:00

thanks在 2016年10月19日星期三 UTC+8下午1:48:34，YuanSheng写道：这个...

如何存储ssl session到redis中

houwenhui199011

春哥，你好：

我通过ssl_session_store_by_lua_block存储session到文件和lua_shared_dict中都正常，但是往redis存储的过程中发现ssl_session_store_by_lua中不允许tcp API，求指教如何解决。

软件版本：

Tengine/2.1.2 (nginx/1.6.2)

openssl-1.0.2j(已打patch)

lua代码如下：

ssl_session_store_by_lua_block {

local redis = require "resty.redis"

local red = redis:new()

red:set_timeout(1000)

local ok, err = red:connect("127.0.0.1", 6379)

if not ok then

ngx.say("failed to connect: ", err)

return

end

local ssl_sess = require "ngx.ssl.session"

local sess_id, err = ssl_sess.get_session_id()

ngx.log(ngx.INFO, "store session ID: ", sess_id)

if not sess_id then

ngx.log(ngx.ERR, "failed to get session ID: ", err)

return

end

local sess, err = ssl_sess.get_serialized_session()

if not sess then

ngx.log(ngx.ERR, "failed to get SSL session for ID ", sess_id, ": ", err)

return

end

local sess, err = red:set(sess_id)

if not sess then

ngx.log(ngx.ERR, "failed to set session to redis: ", err)

return

end

red:close()

}

错误日志如下：

2016/10/20 14:11:17 [error] 25538#0: *8 failed to run session_store_by_lua*: ...cal/tengine/conf/lib/lua-resty-redis/lib/resty/redis.lua:59: API disabled in the context of ssl_session_store_by_lua*

stack traceback:

[C]: in function 'tcp'

...cal/tengine/conf/lib/lua-resty-redis/lib/resty/redis.lua:59: in function 'new'

ssl_session_store_by_lua_block:3: in function <ssl_session_store_by_lua_block:1>, context: ssl_session_store_by_lua*, client: 10.0.0.1, server: 0.0.0.0:443

yuansheng

On Thu, Oct 20, 2016 at 2:55 PM, pyinx <houwenh...@gmail.com> wrote:

春哥，你好：

我通过ssl_session_store_by_lua_block存储session到文件和lua_shared_dict中都正常，但是往redis存储的过程中发现ssl_session_store_by_lua中不允许tcp API，求指教如何解决。

cosocket 在这个阶段是不能使用的，这里可以使用 https://github.com/iresty/nginx-lua-module-zh-wiki#ngxtimerat 绕一下。

tcpsock:send

语法: bytes, err = tcpsock:send(data)

环境: rewrite_by_lua*, access_by_lua*, content_by_lua*, ngx.timer.*, ssl_certificate_by_lua*, ssl_session_fetch_by_lua*

软件版本：
Tengine/2.1.2 (nginx/1.6.2)
openssl-1.0.2j(已打patch)

这里的 nginx 版本比较老旧，目前官方并没有跟进测试，建议使用 openresty 整包。

lua代码如下：
ssl_session_store_by_lua_block {
local redis = require "resty.redis"
local red = redis:new()
red:set_timeout(1000)
local ok, err = red:connect("127.0.0.1", 6379)
if not ok then
ngx.say("failed to connect: ", err)
return
end

local ssl_sess = require "ngx.ssl.session"

local sess_id, err = ssl_sess.get_session_id()
ngx.log(ngx.INFO, "store session ID: ", sess_id)
if not sess_id then
ngx.log(ngx.ERR, "failed to get session ID: ", err)
return
end
local sess, err = ssl_sess.get_serialized_session()
if not sess then
ngx.log(ngx.ERR, "failed to get SSL session for ID ", sess_id, ": ", err)
return
end
local sess, err = red:set(sess_id)
if not sess then
ngx.log(ngx.ERR, "failed to set session to redis: ", err)
return
end
red:close()
}

错误日志如下：
2016/10/20 14:11:17 [error] 25538#0: *8 failed to run session_store_by_lua*: ...cal/tengine/conf/lib/lua-resty-redis/lib/resty/redis.lua:59: API disabled in the context of ssl_session_store_by_lua*
stack traceback:
[C]: in function 'tcp'
...cal/tengine/conf/lib/lua-resty-redis/lib/resty/redis.lua:59: in function 'new'
ssl_session_store_by_lua_block:3: in function <ssl_session_store_by_lua_block:1>, context: ssl_session_store_by_lua*, client: 10.0.0.1, server: 0.0.0.0:443

--

YuanSheng Wang

---------------------------------------

My Github: https://github.com/membphis

OpenResty lover ^_^

houwenhui199011

刚测试了下，通过ngx.timer.at就可以绕过限制继续调用restry.redis了，非常感谢。

在 2016年10月20日星期四 UTC+8下午3:06:21，YuanSheng写道：

On Thu, Oct 20, 2016 at 2:55 PM, pyinx <houwenh...@gmail.com> wrote:
春哥，你好：

我通过ssl_session_store_by_lua_block存储session到文件和lua_shared_dict中都正常，但是往redis存储的过程中发现ssl_session_store_by_lua中不允许tcp API，求指教如何解决。

cosocket 在这个阶段是不能使用的，这里可以使用 https://github.com/iresty/nginx-lua-module-zh-wiki#ngxtimerat 绕一下。
tcpsock:send
语法: bytes, err = tcpsock:send(data)
环境: rewrite_by_lua*, access_by_lua*, content_by_lua*, ngx.timer.*, ssl_certificate_by_lua*, ssl_session_fetch_by_lua*

软件版本：
Tengine/2.1.2 (nginx/1.6.2)
openssl-1.0.2j(已打patch)

这里的 nginx 版本比较老旧，目前官方并没有跟进测试，建议使用 openresty 整包。

lua代码如下：
ssl_session_store_by_lua_block {
local redis = require "resty.redis"
local red = redis:new()
red:set_timeout(1000)
local ok, err = red:connect("127.0.0.1", 6379)
if not ok then
ngx.say("failed to connect: ", err)
return
end

local ssl_sess = require "ngx.ssl.session"

local sess_id, err = ssl_sess.get_session_id()
ngx.log(ngx.INFO, "store session ID: ", sess_id)
if not sess_id then
ngx.log(ngx.ERR, "failed to get session ID: ", err)
return
end
local sess, err = ssl_sess.get_serialized_session()
if not sess then
ngx.log(ngx.ERR, "failed to get SSL session for ID ", sess_id, ": ", err)
return
end
local sess, err = red:set(sess_id)
if not sess then
ngx.log(ngx.ERR, "failed to set session to redis: ", err)
return
end
red:close()
}

错误日志如下：
2016/10/20 14:11:17 [error] 25538#0: *8 failed to run session_store_by_lua*: ...cal/tengine/conf/lib/lua-resty-redis/lib/resty/redis.lua:59: API disabled in the context of ssl_session_store_by_lua*
stack traceback:
[C]: in function 'tcp'
...cal/tengine/conf/lib/lua-resty-redis/lib/resty/redis.lua:59: in function 'new'
ssl_session_store_by_lua_block:3: in function <ssl_session_store_by_lua_block:1>, context: ssl_session_store_by_lua*, client: 10.0.0.1, server: 0.0.0.0:443

--

--

YuanSheng Wang
---------------------------------------
My Github: https://github.com/membphis
OpenResty lover ^_^

382482175

yuansheng，目前OR有没有开源的session ticket key 轮转的代码，或者在哪里可以找到资料。 key_rotation的。

在 2016年10月20日星期四 UTC+8下午3:06:21，YuanSheng写道：

On Thu, Oct 20, 2016 at 2:55 PM, pyinx <houwenh...@gmail.com> wrote:
春哥，你好：

我通过ssl_session_store_by_lua_block存储session到文件和lua_shared_dict中都正常，但是往redis存储的过程中发现ssl_session_store_by_lua中不允许tcp API，求指教如何解决。

cosocket 在这个阶段是不能使用的，这里可以使用 https://github.com/iresty/nginx-lua-module-zh-wiki#ngxtimerat 绕一下。
tcpsock:send
语法: bytes, err = tcpsock:send(data)
环境: rewrite_by_lua*, access_by_lua*, content_by_lua*, ngx.timer.*, ssl_certificate_by_lua*, ssl_session_fetch_by_lua*

软件版本：
Tengine/2.1.2 (nginx/1.6.2)
openssl-1.0.2j(已打patch)

这里的 nginx 版本比较老旧，目前官方并没有跟进测试，建议使用 openresty 整包。

lua代码如下：
ssl_session_store_by_lua_block {
local redis = require "resty.redis"
local red = redis:new()
red:set_timeout(1000)
local ok, err = red:connect("127.0.0.1", 6379)
if not ok then
ngx.say("failed to connect: ", err)
return
end

local ssl_sess = require "ngx.ssl.session"

local sess_id, err = ssl_sess.get_session_id()
ngx.log(ngx.INFO, "store session ID: ", sess_id)
if not sess_id then
ngx.log(ngx.ERR, "failed to get session ID: ", err)
return
end
local sess, err = ssl_sess.get_serialized_session()
if not sess then
ngx.log(ngx.ERR, "failed to get SSL session for ID ", sess_id, ": ", err)
return
end
local sess, err = red:set(sess_id)
if not sess then
ngx.log(ngx.ERR, "failed to set session to redis: ", err)
return
end
red:close()
}

错误日志如下：
2016/10/20 14:11:17 [error] 25538#0: *8 failed to run session_store_by_lua*: ...cal/tengine/conf/lib/lua-resty-redis/lib/resty/redis.lua:59: API disabled in the context of ssl_session_store_by_lua*
stack traceback:
[C]: in function 'tcp'
...cal/tengine/conf/lib/lua-resty-redis/lib/resty/redis.lua:59: in function 'new'
ssl_session_store_by_lua_block:3: in function <ssl_session_store_by_lua_block:1>, context: ssl_session_store_by_lua*, client: 10.0.0.1, server: 0.0.0.0:443

--

--

YuanSheng Wang
---------------------------------------
My Github: https://github.com/membphis
OpenResty lover ^_^

yuansheng

2016-10-20 20:10 GMT+08:00 wwaz wwaz <3824...@qq.com>:

yuansheng，目前OR有没有开源的session ticket key 轮转的代码，或者在哪里可以找到资料。 key_rotation的。

这个我还真不知道，等下大家的回复吧。

在 2016年10月20日星期四 UTC+8下午3:06:21，YuanSheng写道：

On Thu, Oct 20, 2016 at 2:55 PM, pyinx <houwenh...@gmail.com> wrote:
春哥，你好：

我通过ssl_session_store_by_lua_block存储session到文件和lua_shared_dict中都正常，但是往redis存储的过程中发现ssl_session_store_by_lua中不允许tcp API，求指教如何解决。

cosocket 在这个阶段是不能使用的，这里可以使用 https://github.com/iresty/nginx-lua-module-zh-wiki#ngxtimerat 绕一下。
tcpsock:send
语法: bytes, err = tcpsock:send(data)
环境: rewrite_by_lua*, access_by_lua*, content_by_lua*, ngx.timer.*, ssl_certificate_by_lua*, ssl_session_fetch_by_lua*

软件版本：
Tengine/2.1.2 (nginx/1.6.2)
openssl-1.0.2j(已打patch)

这里的 nginx 版本比较老旧，目前官方并没有跟进测试，建议使用 openresty 整包。

lua代码如下：
ssl_session_store_by_lua_block {
local redis = require "resty.redis"
local red = redis:new()
red:set_timeout(1000)
local ok, err = red:connect("127.0.0.1", 6379)
if not ok then
ngx.say("failed to connect: ", err)
return
end

local ssl_sess = require "ngx.ssl.session"

local sess_id, err = ssl_sess.get_session_id()
ngx.log(ngx.INFO, "store session ID: ", sess_id)
if not sess_id then
ngx.log(ngx.ERR, "failed to get session ID: ", err)
return
end
local sess, err = ssl_sess.get_serialized_session()
if not sess then
ngx.log(ngx.ERR, "failed to get SSL session for ID ", sess_id, ": ", err)
return
end
local sess, err = red:set(sess_id)
if not sess then
ngx.log(ngx.ERR, "failed to set session to redis: ", err)
return
end
red:close()
}

错误日志如下：
2016/10/20 14:11:17 [error] 25538#0: *8 failed to run session_store_by_lua*: ...cal/tengine/conf/lib/lua-resty-redis/lib/resty/redis.lua:59: API disabled in the context of ssl_session_store_by_lua*
stack traceback:
[C]: in function 'tcp'
...cal/tengine/conf/lib/lua-resty-redis/lib/resty/redis.lua:59: in function 'new'
ssl_session_store_by_lua_block:3: in function <ssl_session_store_by_lua_block:1>, context: ssl_session_store_by_lua*, client: 10.0.0.1, server: 0.0.0.0:443

--

--

YuanSheng Wang
---------------------------------------
My Github: https://github.com/membphis
OpenResty lover ^_^

--

YuanSheng Wang

---------------------------------------

My Github: https://github.com/membphis

OpenResty lover ^_^

wanderpony

TLS session ticket key 的轮转这个自己也可以撸一个吧…… 主要点是定时所有前端使用同一个 ticket key 即可。

josephus722

多谢，我理解的点是这样的，

在init_work_by_lua阶段搞个定时器定时更换ticket key，这些key存储在redis或者memcached，每次取到的key各个nginx都取同一个。现在的问题是这些key如何循环重复利用，我看了cloudflare的做法是把这些key放在了一个循环数组里面，jianqiang兄有啥好方法没?

2016年10月21日星期五，Jianqiang Wang <wand...@gmail.com> 写道：

TLS session ticket key 的轮转这个自己也可以撸一个吧…… 主要点是定时所有前端使用同一个 ticket key 即可。

--

zi.lin.cs

不是循环利用，而是不断的用随机数生成新的key替换进去。替换的时候玩了点花招来尽量减少同步问题，比如下一个要使用的key提早放进数组去做备用解密key，保证一些机器开始使用新的key加密的时候其他机器也已经有了，同时替换下来的key保留在数组里一段时间，慢慢淘汰。造成了一种循环使用的错觉罢了。

On Thursday, October 20, 2016 at 9:42:41 PM UTC-7, wwaz wwaz wrote:

多谢，我理解的点是这样的，
在init_work_by_lua阶段搞个定时器定时更换ticket key，这些key存储在redis或者memcached，每次取到的key各个nginx都取同一个。现在的问题是这些key如何循环重复利用，我看了cloudflare的做法是把这些key放在了一个循环数组里面，jianqiang兄有啥好方法没?

2016年10月21日星期五，Jianqiang Wang <wande...@gmail.com> 写道：
TLS session ticket key 的轮转这个自己也可以撸一个吧…… 主要点是定时所有前端使用同一个 ticket key 即可。

--

wanderpony

Zi Lin 老司机正解～