Caddy服务器TLS连接策略与SNI匹配问题解析

在Caddy服务器实际部署过程中，TLS连接策略配置不当可能导致证书选择失败，进而引发服务不可用问题。本文通过一个典型场景分析Caddy的证书选择机制及解决方案。

问题现象

当Caddy服务器作为后端服务部署在HAProxy之后时，可能出现以下两种不同的TLS连接策略配置：

1. 正常工作的配置：仅包含证书选择标签

{
  "certificate_selection": {
    "any_tag": ["cert0"]
  }
}

2. 异常的配置：包含SNI匹配规则

{
  "certificate_selection": {
    "any_tag": ["cert0"]
  },
  "match": {
    "sni": ["project.tcoch.local"]
  }
}

异常配置会导致Caddy日志中出现"no matching certificates and no custom selection logic"错误，而正常配置则会显示"will choose from all certificates"。

根本原因分析

Caddy的TLS连接策略遵循以下匹配原则：

1. 当配置中包含SNI匹配规则时，Caddy会严格检查客户端请求中的SNI字段是否与配置匹配
2. 如果HAProxy未正确设置SNI字段，Caddy无法找到匹配的证书
3. 对于通配符证书(*.tcoch.local)，必须确保客户端请求中包含匹配的SNI主机名

解决方案

针对此类问题，建议采取以下措施：

1. HAProxy配置优化：

   • 确保backend配置中包含正确的SNI设置
   • 示例配置：

     server caddy_backend 172.28.0.2:443 ssl verify none sni str(project.tcoch.local)
     

2. Caddy配置调整：

   • 明确指定证书应匹配的域名模式
   • 或者移除过于严格的SNI匹配规则

3. 证书管理：

   • 确保证书包含所有可能使用的SAN(Subject Alternative Name)
   • 对于内部网络，考虑使用IP地址作为SAN

最佳实践建议

1. 在反向代理架构中，始终保持一致的SNI传递策略
2. 定期检查Caddy的TLS连接策略配置，避免意外添加严格匹配规则
3. 监控Caddy的TLS握手日志，及时发现证书选择问题
4. 对于开发环境，可以使用自签名证书并明确配置信任链

通过理解Caddy的证书选择机制和合理配置网络架构，可以有效避免此类TLS连接问题，确保服务稳定运行。