security - 如何使用 windows api 用 ssl 透明地包装 tcp/ip 请求

Question

我正在开发一个安全系统。它有一个代理服务器，使用 Nginx 充当 ssl 终端。这会将来自客户端的所有 tcp/ip 连接转发到其他第三方系统。

客户端-代理连接必须通过 ssl 进行身份验证和安全加密。

我的问题是:

每个客户端都是安装了 Windows 7 操作系统或更高版本的计算机。它已经安装了一些无法被干扰的第三方应用程序。为了更好的用户体验，来自任何应用程序的所有客户端的 tcp/ip 出站请求必须在到达代理服务器之前透明地“转换”为(或“包装”在)ssl 请求。我的第一个想法是开发一个网络驱动程序来使用windows api访问这些请求，即WFP(Windows Filtering Platform)。我已经阅读了它的online documentation但这并不容易理解。您是否必须找到一些这样的项目或告诉我文档中的哪些部分需要关注？先感谢您!

Answer 1

您的问题有点不清楚，但这是我的想法:
您希望在最终用户客户端与应用服务之间进行完全加密。
当前的:

Client --(443: TLS)--> NGINX --(Clear; Port 80)--> App Service
                   (Terminate TLS)

改变:

Client --(443: TLS)--> NGINX --(TLS; Port 443)--> App Proxy -(Plain; 80)-> App Service
                   (Terminate TLS)             (Nginx with self-signed Cert)

变化是在应用服务器上增加了一个额外的 Nginx 服务器，以提供负载均衡器和应用服务之间的最后一层 TLS。
如果您的应用服务能够直接提供 SSL 连接，那就更好了，因为您可以配置它来代替在应用主机上运行额外的 Nginx 服务器。 (如果您愿意，可以运行 apache 或任何其他支持代理/负载平衡功能的 Web 服务器)
如果您担心应用服务端口，它不会有所作为，想法是 App Proxy (作为 Nginx 等)将在不同的端口上处理加密，然后通过 localhost 传递给应用服务(以纯文本形式)。

其他资源:
Can Nginx do TCP load balance with SSL termination?
https://serverfault.com/questions/978922/nginx-proxy-pass-to-https
https://reinout.vanrees.org/weblog/2017/05/02/https-behind-proxy.html
https://nginx.org/en/docs/http/ngx_http_ssl_module.html