Как сделать поддержку wss соединения?

Question

[LakeForest]

WebSocket connection to 'wss://localhost:8000/ws' failed:
Все нормально, пока по проект был локальный, после публикации ошибки про безопасный протокол. Не понимаю, что надо сделать, чтобы заработало?
Пробовал то, что закомменчено - та же ошибка.

import os
from models.ws_handler import WsHandler
from consumer import ServerConsumer
import tornado.ioloop
import ssl

if __name__ == '__main__':
    consumer = ServerConsumer()
    consumer.start_start_consuming_thread()

    application = tornado.web.Application(handlers=[
        (r'/ws', WsHandler)
    ], default_host="0.0.0.0")

    port = int(os.environ["PORT"])
    ssl_ctx = ssl.create_default_context(ssl.Purpose.CLIENT_AUTH)
    ssl_ctx.load_cert_chain(os.path.join(os.path.abspath('.'), "private", "cert.pem"),
                            os.path.join(os.path.abspath('.'), "private", "key.pem"))
    ssl_ctx.load_verify_locations(os.path.join(os.path.abspath('.'), "private", "key.pem"))

    http_server = tornado.httpserver.HTTPServer(application, ssl_options=ssl_ctx)
    http_server.listen(port=port)
    #application.listen(port=port)

    tornado.ioloop.IOLoop.instance().start()

tornado.general;SSL Error on 13 ('x.x.x.x.', yyyy): [SSL: HTTP_REQUEST] http request (_ssl.c:1131)

Приложение находится в отдельном контейнере докер.
Полагаю нет смысла менять порт внутри контейнера на 443... Тем более он вроде занят для фронтенда (точка входа пользователей)

Comments

[Алан Гибизов]

Рекомендую убрать скриншот (см.п.3.8 правил).

[Александр Карабанов]

Ммм текст в виде картинки. Обожаю.

Answer 1

[Александр Карабанов]

Доменное имя не правильное, не то, что указано в сертификате.

Comments

[LakeForest]

а как указать правильное? в какой строке?

$openssl req -newkey rsa:2048 -new -nodes -x509 -days 3650 -keyout key.pem -out cert.pem
Generating a RSA private key
....................+++++
.........................+++++
writing new private key to 'key.pem'
-----
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [AU]:
State or Province Name (full name) [Some-State]:
Locality Name (eg, city) []:
Organization Name (eg, company) [Internet Widgits Pty Ltd]:
Organizational Unit Name (eg, section) []:
Common Name (e.g. server FQDN or YOUR name) []:
Email Address []:

[LakeForest]

Я в этой строке указал домен, но ничего не изменилось для wss: Common Name (e.g. server FQDN or YOUR name) []:

Только ws перестал работать на localhost...

[Александр Карабанов]

Выпусти полноценный сертифкат c помощью Let's Encrypt.
Если это только для разработки и тестов то воспользуйся mkcert
Статья про это Mkcert: валидные HTTPS-сертификаты для localhost

[LakeForest]

Александр Карабанов, то есть даже, если у меня открытый контейнер на 8000, для него сделали сертификат c помощью Let's Encrypt, и через этот открытый контейнер идет обращение к закрытому, где расположен websocket. То все равно получается надо получить сертификат для этого закрытого контейнера?

[Александр Карабанов]

Нет. Всё зависит от того какую цель ты преследуешь.

[LakeForest]

Александр Карабанов, мой сайт попробовали опубликовать. На нем работал websocket, на тестировании я подключался по протоколу ws, теперь протокол https требует подключения к вебсокету по wss, но у меня не получается установить соединение просто прописав на фронтенде new WebSocket("wss://" + window.location.host + "/ws");
Затем запрос проксируется через nginx в нужный контейнер, но связь установить не удается:
Но WARNING;2021-09-12 19:16:16;400 GET /ws (172.30.0.4) 0.31ms

Не понимаю, как я могу избежать этих сертификатов? Или какой сделать, чтобы заработало и с http и c https...

[Александр Карабанов]

400
Ты в настройках проксирования указал все необходимые заголовки?

Если ты проксируешь запросы через Nginx, то зачем подключать сертификаты (к тому же самоподписанные и некорректно сформированные) в настройках приложения?

[LakeForest]

Александр Карабанов, по http - все работает (без настройки ssl_ctx , просто запуск #application.listen(port=port)).
400 - только когда через wss пытаюсь подключиться...
Часть nginx.conf

user  nginx;
worker_processes  1;
error_log  /var/log/nginx/error.log warn;
pid        /var/run/nginx.pid;
events {
  worker_connections  1024;
}

http {
  include       /etc/nginx/mime.types;
  default_type  application/octet-stream;
  log_format  main  '$remote_addr - $remote_user [$time_local] "$request" '
                    '$status $body_bytes_sent "$http_referer" '
                    '"$http_user_agent" "$http_x_forwarded_for"';
  access_log  /var/log/nginx/access.log  main;
  sendfile        on;
  keepalive_timeout  65;
  upstream ws_server {
      server ws_server:5100;
  }
  server {
    proxy_connect_timeout 600;
    proxy_send_timeout 600;
    proxy_read_timeout 600;
    send_timeout 600;
    listen       80;
    server_name  localhost;

     location /ws {
        proxy_pass http://ws_server;
        proxy_http_version 1.1;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection "upgrade";
        proxy_set_header X-Real-IP $remote_addr;
        proxy_read_timeout 950s;
        proxy_set_header Host $http_host;
    }
  }
}

[LakeForest]

Из источника tornadoweb - websocket:

When using a secure websocket connection (wss://) with a self-signed certificate, the connection from a browser may fail because it wants to show the “accept this certificate” dialog but has nowhere to show it. You must first visit a regular HTML page using the same certificate to accept it before the websocket connection will succeed.

Но я не понимаю какую я страницу должен посетить? https://www.example.com/ws - чтобы мне окно подтверждения показал? Или как?...

[Александр Карабанов]

Убери сертификаты из настроек приложения. TLS терминируется на Nginx. Если настроено проксирование запросов, то сертификаты в настройках приложения не нужны.

[LakeForest]

Александр Карабанов, Я убрал. Но проблема, наверно, в том, что чтобы опубликовать делают проксирование с nginx-а компании на мой ngnix фронтенда...
Может мне надо какие-то заголовки дописать, чтобы передавать сертификат по nginx-ам? Или не то?...

[Александр Карабанов]

Тогда сертификат нужен, но не самоподписанный.
Можно конечно оставить проксирование на твоей стороне, но лучше вынести приложение на отдельный порт, что бы Nginx компании напрямую к приложению подключался.

Как вариант, исключительно в целях разработки, можно добавить в настройки проксирования proxy_ssl_verify off;, что бы сертификат не проверялся, тогда можно использовать самоподписанный сертификат для Nginx на твоей стороне.

PS
WebSocket бинарный протокол и проксирование скорее мешает, лучше конечно когда клиенты подключаются непосредственно к приложению...

[LakeForest]

Александр Карабанов, спасибо большое за подробные разъяснения!
Решили вебсокет на внешний вытащить для подписи - заработало.