Motivação para Renovação Contínua

Em ambientes de produção, a substituição periódica de certificados TLS é obrigatória para manter a conformidade de segurança. Métodos convencionais exigem reinicialização dos serviços, causando indisponibilidade. O mecanismo de recarga dinâmica do Ghostunnel permite substituir credenciais sem afetar conexões ativas.

Benefícios Principais:

• Disponibilidade total: Operações de substituição não interrompem o tráfego
• Execução automática: Verificações periódicas detectam alterações automaticamente
• Tolerância a falhas: Credenciais anteriores são preservadas em caso de erro
• Flexibilidade de armazenamento: Compatível com múltiplos formatos e backends

Mecanismo Interno de Recarga

A funcionalidade baseia-se em uma arquitetura de recarga de configuração em execução. O componente central reside em certloader/certificate.go, onde a estrutura Certificado gerencia o ciclo de vida das credenciais:

// Certificado encapsula um par TLS com capacidade de substituição em runtime.
type Certificado struct {
    // ... campos internos ...
    
    // Atualiza recarrega o par de chaves e certificado. Chamadas subsequentes
    // a ObterCertificado retornam o material recém-carregado se bem-sucedido.
    // Em caso de falha, o material anterior permanece ativo.
    Atualiza() erro
}

O processo envolve três componentes coordenados:

1. Verificação periódica: Implementada por rotinaRecarga em signals.go:

func (amb *Ambiente) rotinaRecarga(intervalo time.Duration) {
    if intervalo == 0 {
        return
    }
    for range time.Tick(intervalo) {
        amb.recarrega()
    }
}

2. Coordenação de recarga: A função recarrega sincroniza atualizações de TLS e políticas:

func (amb *Ambiente) recarrega() {
    amb.estado.Recarregando()
    if err := amb.fonteConfigTLS.Recarrega(); err != nil {
        log.Printf("falha na recarga de configuração TLS: %s", err)
    }
    if amb.politicaRego != nil {
        if err := amb.politicaRego.Recarrega(); err != nil {
            log.Printf("falha na recarga de política OPA: %s", err)
        }
    }
    log.Printf("recarga de configuração concluída")
}

3. Fonte configurável: A interface FonteConfigTLS em certloader/tlsconfig.go define o contrato:

// FonteConfigTLS configura TLS cliente ou servidor com suporte a recarga dinâmica.
type FonteConfigTLS interface {
    // Recarrega atualiza a configuração. Falhas mantêm a configuração anterior.
    Recarrega() erro
    
    // ... métodos adicionais ...
}

Preparação do Ambiente

Compilação da Ferramenta

git clone https://github.com/ghostunnel/ghostunnel.git
cd ghostunnel
go build -o ghostunnel main.go

Arquivos Necessários

• Certificado de servidor (formato PEM)
• Chave privada correspondente (formato PEM)
• Certificado de autoridade certificadora (para validação de clientes)

Backends de Armazenamento Suportados

• Sistema de arquivos (PEM): certloader/keystore.go
• Armazenamento PKCS#12: certloader/keystore.go
• Keystore JCEKS: certloader/jceks/jceks.go
• Módulos HSM via PKCS#11: certloader/pkcs11_enabled.go
• Keychain do sistema: certloader/certstore_enabled.go

Implementação das Estratégias de Recarga

Estratégia 1: Verificação Automática por Intervalo

O parâmetro --timed-reload ativa inspeções periódicas do sistema de arquivos:

ghostunnel server \
  --listen 0.0.0.0:443 \
  --target 127.0.0.1:8080 \
  --cert /caminho/para/servidor.crt \
  --key /caminho/para/servidor.key \
  --cacert /caminho/para/ca.crt \
  --timed-reload 300s

Parâmetros:

• --timed-reload 300s: Intervalo de verificação (5 minutos)
• --cert / --key: Caminhos do par de credenciais
• --cacert: CA para autenticação mútua de clientes

Estratégia 2: Disparo por Sinal do Sistema

Para controle manual, utilize o sinal SIGHUP:

# Inicialização com registro de PID
ghostunnel server \
  --listen 0.0.0.0:443 \
  --target 127.0.0.1:8080 \
  --cert /caminho/para/servidor.crt \
  --key /caminho/para/servidor.key \
  --pidfile /var/run/ghostunnel.pid

# Procedimento de substituição
cp /novo/caminho/servidor.crt /caminho/para/servidor.crt
cp /novo/caminho/servidor.key /caminho/para/servidor.key
kill -HUP $(cat /var/run/ghostunnel.pid)

Estratégia 3: Integração com Keystore

Para maior segurança em produção, utilize containers PKCS#12:

ghostunnel server \
  --listen 0.0.0.0:443 \
  --target 127.0.0.1:8080 \
  --keystore /caminho/para/keystore.p12 \
  --keystore-password senha_segura \
  --timed-reload 300s

A implementação em certloader/keystore.go oferece:

// CertificadoDeKeystore cria um certificado recarregável a partir de PKCS#12.
func CertificadoDeKeystore(caminho, senha string, log log.Logger) (*Certificado, error) {
    // ... inicialização segura ...
}

// Recarrega executa a substituição atômica do material criptográfico.
func (c *certificadoKeystore) Recarrega() error {
    // ... lógica de recarga ...
}

Validação da Implementação

Análise de Logs

Sucesso:

recarga de configuração concluída

Falha:

falha na recarga de configuração TLS: erro ao carregar certificado

Verificação de Vigência

echo | openssl s_client -connect dominio.com:443 2>/dev/null | openssl x509 -noout -dates

Compare os campos notBefore e notAfter antes e após a operação.

Métricas Operacionais

O endpoint de métricas expõe ghostunnel_cert_reload_success e ghostunnel_cert_reload_failures, implementados em proxy/proxy.go para integração com Prometheus.

Diagnóstico de Problemas

Recomendações de Operação

• Backup preventivo: Preserve credenciais ativas antes de qualquer alteração
• Intervalos adequados:
  • Certificados tradicionais (>90 dias): 1-24 horas
  • Certificados curtos (Let's Encrypt): 1-6 horas
  • Ambientes de alta frequência: 5-30 minutos
• Monitoramento proativo: Configure alertas para vencimento com antecedência mínima de 7 dias
• Automação completa: Integre com Certbot, Ansible ou mecanismos nativos de orquestração

Referências de Implementação

• certloader/certificate.go: Ciclo de vida de credenciais
• signals.go: Tratamento de sinais e agendamento
• certloader/tlsconfig.go: Configuração dinâmica de TLS