简介

在CentOS服务器上使用Rust开发Web应用时，配置SSL证书是确保HTTPS安全通信的关键步骤。本文将详细介绍如何在CentOS环境下为Rust应用配置SSL证书，包括使用Let’s Encrypt免费证书和自定义证书的方法。

环境准备

在开始配置之前，请确保您的CentOS系统已满足以下条件：

• CentOS 7 或更高版本
• 已安装Rust编程语言环境
• 拥有域名并正确解析到服务器IP
• 服务器80和443端口可访问

方法一：使用Let’s Encrypt免费证书

1. 安装Certbot

首先在CentOS上安装Certbot工具：

# 安装EPEL仓库
sudo yum install epel-release -y

# 安装Certbot和Nginx插件
sudo yum install certbot python3-certbot-nginx -y

2. 获取SSL证书

使用Certbot获取免费SSL证书：

sudo certbot certonly --standalone -d yourdomain.com -d www.yourdomain.com

证书文件将保存在 /etc/letsencrypt/live/yourdomain.com/ 目录下。

3. 在Rust中配置证书

创建Rust Web服务器并配置SSL：

use std::fs::File;
use std::io::Read;
use hyper::server::conn::AddrIncoming;
use tokio_rustls::rustls::{self, Certificate, PrivateKey};
use tokio_rustls::TlsAcceptor;

// 读取证书和私钥
fn load_certs(filename: &str) -> Vec<Certificate> {
    let certfile = File::open(filename).expect("cannot open certificate file");
    let mut reader = std::io::BufReader::new(certfile);
    rustls_pemfile::certs(&mut reader)
        .unwrap()
        .into_iter()
        .map(Certificate)
        .collect()
}

fn load_private_key(filename: &str) -> PrivateKey {
    let keyfile = File::open(filename).expect("cannot open private key file");
    let mut reader = std::io::BufReader::new(keyfile);
    let keys = rustls_pemfile::pkcs8_private_keys(&mut reader).unwrap();
    PrivateKey(keys.into_iter().next().unwrap())
}

// 配置TLS
fn make_tls_acceptor() -> TlsAcceptor {
    let certs = load_certs("/etc/letsencrypt/live/yourdomain.com/fullchain.pem");
    let key = load_private_key("/etc/letsencrypt/live/yourdomain.com/privkey.pem");

    let mut config = rustls::ServerConfig::new(rustls::NoClientAuth::new());
    config.set_single_cert(certs, key).unwrap();

    TlsAcceptor::from(Arc::new(config))
}

方法二：使用actix-web框架配置SSL

如果您使用actix-web框架，配置更加简单：

use actix_web::{web, App, HttpResponse, HttpServer};
use openssl::ssl::{SslAcceptor, SslFiletype, SslMethod};

fn build_ssl_acceptor() -> SslAcceptor {
    let mut builder = SslAcceptor::mozilla_intermediate(SslMethod::tls()).unwrap();
    builder
        .set_private_key_file("/etc/letsencrypt/live/yourdomain.com/privkey.pem", SslFiletype::PEM)
        .unwrap();
    builder
        .set_certificate_chain_file("/etc/letsencrypt/live/yourdomain.com/fullchain.pem")
        .unwrap();
    builder.build()
}

#[actix_web::main]
async fn main() -> std::io::Result<()> {
    HttpServer::new(|| {
        App::new()
            .route("/", web::get().to(|| HttpResponse::Ok().body("HTTPS Working!")))
    })
    .bind_openssl("0.0.0.0:443", build_ssl_acceptor)?
    .bind("0.0.0.0:80")?
    .run()
    .await
}

方法三：使用Nginx反向代理

对于生产环境，推荐使用Nginx作为反向代理来处理SSL：

1. 安装和配置Nginx

sudo yum install nginx -y

2. 配置Nginx SSL

编辑Nginx配置文件 /etc/nginx/conf.d/yourdomain.conf：

server {
    listen 443 ssl http2;
    server_name yourdomain.com www.yourdomain.com;

    ssl_certificate /etc/letsencrypt/live/yourdomain.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/yourdomain.com/privkey.pem;

    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers HIGH:!aNULL:!MD5;

    location / {
        proxy_pass http://127.0.0.1:8080;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
    }
}

server {
    listen 80;
    server_name yourdomain.com www.yourdomain.com;
    return 301 https://$server_name$request_uri;
}

3. Rust应用配置

Rust应用只需监听本地端口（如8080），Nginx会处理SSL终止：

use actix_web::{web, App, HttpResponse, HttpServer};

#[actix_web::main]
async fn main() -> std::io::Result<()> {
    HttpServer::new(|| {
        App::new()
            .route("/", web::get().to(|| HttpResponse::Ok().body("Hello HTTPS!")))
    })
    .bind("127.0.0.1:8080")?
    .run()
    .await
}

自动续期配置

Let’s Encrypt证书有效期为90天，需要设置自动续期：

# 测试自动续期
sudo certbot renew --dry-run

# 添加cron任务
sudo crontab -e
# 添加以下行（每天凌晨2点尝试续期）
0 2 * * * /usr/bin/certbot renew --quiet

常见问题解决

1. 证书续期失败

检查防火墙设置，确保80端口可访问：

sudo firewall-cmd --permanent --add-service=http
sudo firewall-cmd --permanent --add-service=https
sudo firewall-cmd --reload

2. Rust应用无法绑定443端口

443端口需要root权限，建议：
– 使用Nginx反向代理（推荐）
– 或使用setcap赋予Rust二进制文件权限：

sudo setcap 'cap_net_bind_service=+ep' /path/to/your/rust/app

3. 混合内容警告

确保网页中所有资源（CSS、JS、图片）都使用HTTPS链接。

安全最佳实践

1. 启用HTTP/2：提升性能
2. 配置HSTS：强制HTTPS连接
3. 使用强加密套件：禁用弱加密算法
4. 定期更新：保持Rust、OpenSSL等组件最新
5. 监控证书有效期：设置到期提醒

性能优化建议

1. 启用OCSP Stapling：减少SSL握手时间
2. 配置SSL会话缓存：提升重复访问性能
3. 使用TLS 1.3：更快的握手速度
4. 优化证书链：减少证书链长度

总结

在CentOS下为Rust应用配置SSL证书有多种方式，开发者可以根据项目需求选择合适的方法。对于生产环境，推荐使用Nginx反向代理方案，它提供了更好的性能和安全性。无论选择哪种方式，都要确保证书的正确安装和定期续期，以保障网站的安全性和可访问性。

参考资料

• Let’s Encrypt官方文档
• Rust官方网络编程指南
• OpenSSL官方文档
• Nginx SSL配置最佳实践

通过本文的详细步骤，您应该能够在CentOS系统上成功为Rust Web应用配置SSL证书，实现HTTPS安全访问。