在我们使用envoy替换原有云上alb的过程中,遇到了加密套件不兼容的问题,导致有大量大握手失败,对比envoy文档上的支持,我们发现envoy相对于云上ALB,少了以下六个cipher,除了ECDHE椭圆加密算法外剩余四个都是比较常用的,虽然这四个目前都是弱,但是不能因为这个损失用户,还是要先兼容再考虑升级问题。
"AES256-GCM-SHA384", "AES256-SHA", "ECDHE-RSA-AES128-SHA256", "ECDHE-RSA-AES256-SHA384", "AES128-SHA256", "AES256-SHA256",
envoy使用的boringssl,BoringSSL 是 OpenSSL 的一个分支,旨在满足 Google 的需求,而谷歌对安全要求也是比较高的,不支持这些弱cipher也情有可原,通过搜索我们发现在这个pr[1] 里删除了支持,只要我们复原就可以了,这里我在找到envoy当前依赖的boring版本,fork后添加上述PR的cipher,提交到GitHub,参见这个branch[2]
boringssl修改完了接下来我们需要修改envoy依赖的boringssl,修改内容可以在此查看[3],然后我们就可以编译了
如果使用ubuntu编译在clone envoy代码后可以执行:
ENVOY_DOCKER_BUILD_DIR=/root/envoy/build ./ci/run_envoy_docker.sh './ci/do_ci.sh bazel.release.server_only’
如果是centos在clone代码后执行(实际在centos编译过程中需要修改git和bazel的路径为绝对路径,建议使用ubuntu进行编译,毕竟是官方的CI镜像,不过Ubuntu编译出来的对glibc版本要求较高):
ENVOY_DOCKER_BUILD_DIR=/root/envoy/build IMAGE_NAME=envoyproxy/envoy-build-centos ./ci/run_envoy_docker.sh './ci/do_ci.sh bazel.release.server_only’
然后我们就可以在 linux 目录下找到envoy的可执行程序了
[1]
pr: https://github.com/google/boringssl/commit/6e678eeb6e76171712ae00d467321b6fe196152d
[2]
branch: https://github.com/du2016/boringssl/tree/old
[3]
查看: https://github.com/du2016/envoy/commit/ec09b04df09ce5cf186429382a9642d36302befd