OpenSSL DTLSv1.3 回声客户端/服务端实战指南从 demos/dtlsecho 到 SSL_write/SSL_read 的 UDP 安全通信【免费下载链接】opensslGeneral purpose TLS and crypto library项目地址: https://gitcode.com/GitHub_Trending/ope/openssl本指南以 OpenSSL 仓库中的 demos/dtlsecho 演示程序为核心剖析如何基于 DTLSv1.3 协议构建一个跑在 UDP 之上的加密回声echo客户端与服务端。读者将掌握 DTLS 上下文创建、UDP 套接字与 datagram BIO 的绑定、SSL_accept()/SSL_connect()握手流程以及通过SSL_read()/SSL_write()在无连接协议上收发加密数据并学会用 OpenSSL 命令行生成自签名证书完成端到端验证。一、dtlsecho 是什么dtlsecho 是 OpenSSL 官方 demos 目录下的一个控制台应用实现了一个简单但完整的DTLSv1.3 回声客户端/服务端。它与同目录下的 sslecho 演示基于 TLS/TCP功能对等但底层传输从面向连接的 TCP 换成了无连接的 UDP这正是 DTLS 的核心使用场景——在不可靠、无连接的传输层之上提供与 TLS 等价的安全能力。该演示的核心设计要点通过命令行参数决定运行模式s表示服务端c hostname表示客户端不带参数启动会打印用法main.c 中 usage() 函数服务端监听固定端口4433static const int server_port 4433;见 main.c客户端在 DTLS 握手完成后从标准输入读取用户键盘输入通过SSL_write()发给服务端再用SSL_read()接收服务端原样返回的回声代码由 sslecho 演示适配而来将TLS_server_method()/TLS_client_method()替换为DTLS_server_method()/DTLS_client_method()并把 TCP 套接字换成 UDP 套接字。目录内共四个文件文件作用main.c完整的客户端/服务端实现约 420 行 C 代码README.md项目说明文档A-SSL-Docs.txt证书生成命令与参考链接速查cert.pem / key.pem自签名证书与私钥Common Name 为localhost二、编译与运行2.1 编译dtlsecho 依赖 OpenSSL 的libssl与libcrypto编译命令与仓库中 demos/sslecho/Makefile 的写法一致该 Makefile 给出了标准编译参数cc -I../../include -g -Wall -c main.c -o main.o cc -L../.. -o dtlsecho main.o -lssl -lcrypto编译成功后得到可执行文件dtlsecho。若链接的是共享库默认情况运行时需要保证libcrypto和libssl在库搜索路径上例如LD_LIBRARY_PATH../.. ./dtlsecho2.2 命令行用法程序通过参数区分角色对应 usage() 函数Usage: dtlsecho s --or-- dtlsecho c hostname cclient, sserver, hostnamehostname of serverdtlsecho s以服务端模式启动监听 UDP 4433 端口等待客户端 DTLS 连接dtlsecho c localhost以客户端模式启动连接指定主机名的 DTLS 服务端。2.3 双端联调步骤在同一个终端或两个终端分别执行# 终端 A启动服务端 ./dtlsecho s # 终端 B启动客户端连接本机 ./dtlsecho c localhost客户端启动后在标准输入中键入任意字符串并回车服务端会打印Received: 内容并原样回传客户端随后打印相同的回声内容。输入空行退出客户端若在服务端输入内容并回车服务端收到字符串kill\n会主动终止运行——这是源码中内置的kill switch逻辑见 main.c。三、核心实现剖析从 UDP 套接字到 DTLS 会话dtlsecho 的价值在于它把 DTLS 与裸 UDP 打交道的每一个环节都摊开在你面前。下面按数据流顺序拆解 main.c 的实现。3.1 创建 UDP 套接字服务端服务端通过 create_socket() 完成地址解析、建套接字与绑定用BIO_lookup_ex(NULL, 4433, BIO_LOOKUP_SERVER, AF_INET6, SOCK_DGRAM, 0, res)解析通配地址注意请求的是AF_INET6地址族用BIO_socket()创建SOCK_DGRAMUDP套接字用BIO_listen(s, addr, BIO_SOCK_REUSEADDR)绑定端口。注释中特别说明main.c请求AF_INET6得到的是一个双栈套接字——BIO_listen会清掉IPV6_V6ONLY从而同时服务 IPv6 与 IPv4 客户端并且BIO_SOCK_REUSEADDR隐含设置了SO_REUSEADDR便于快速重启。3.2 创建并限制 DTLS 上下文create_context() 展示了 DTLS 上下文创建的标准姿势if (isServer) method DTLS_server_method(); else method DTLS_client_method(); ctx SSL_CTX_new(method);最关键的差异在于为了让这个 demo 严格只跑 DTLSv1.3代码同时调用了SSL_CTX_set_min_proto_version(ctx, DTLS1_3_VERSION)与SSL_CTX_set_max_proto_version(ctx, DTLS1_3_VERSION)main.c把协议版本上下限都钉死在 DTLS1.3。DTLS1_3_VERSION来自openssl/dtls1.hmain.c 第 16 行包含该头文件。实际项目中若想同时兼容 DTLSv1.2则只需设置最小版本为DTLS1_2_VERSION。3.3 服务端流程SSL_accept 回声循环服务端主流程main.cconfigure_server_context()加载服务端证书与私钥SSL_CTX_use_certificate_chain_file(ctx, cert.pem)SSL_CTX_use_PrivateKey_file(ctx, key.pem, SSL_FILETYPE_PEM)main.c将已绑定的 UDP 套接字包装进 datagram BIObio BIO_new_dgram(server_skt, BIO_NOCLOSE)然后SSL_set_bio(ssl, bio, bio)同时作为读写通道调用DTLS_set_link_mtu(ssl, 1500)设置链路 MTUmain.c这是 DTLS 有别于 TLS 的重要一环——UDP 数据报需要分片管理MTU 影响握手与记录层的分片策略调用SSL_accept(ssl)完成 DTLS 握手进入回声循环SSL_read()接收客户端消息并原样SSL_write()回去。回声循环中有一个 DTLS 特有的细节main.c服务端发出 new session ticket 后需要等待客户端对票据的 ACK。因此在循环刚开始、客户端还没发来业务数据时SSL_read()可能返回 -1代码用一个received_new_session_ack标志区分尚未收到 ACK与真正的读错误避免误报连接异常。3.4 客户端流程地址解析 SSL_connect 交互循环客户端主流程main.cconfigure_client_context()设置证书校验SSL_CTX_set_verify(ctx, SSL_VERIFY_PEER, NULL)让客户端在校验失败时中止握手由于 demo 使用自签名证书用SSL_CTX_load_verify_locations(ctx, cert.pem, NULL)直接信任该证书。源码注释提示main.c真实应用应改用SSL_CTX_set_default_verify_paths()加载系统默认信任库用BIO_lookup(hostname, 4433, BIO_LOOKUP_CLIENT, AF_UNSPEC, SOCK_DGRAM, res)解析服务端地址IPv4/IPv6 均可然后遍历地址列表BIO_ADDRINFO_next()逐个尝试BIO_socket()BIO_connect()直到成功。注释指出main.c对 UDP 而言BIO_connect只是设置默认对端地址并不真正建立连接同样用BIO_new_dgram()包装套接字SSL_set_bio(ssl, bio, bio)调用SSL_set1_dnsname(ssl, rem_server_name)设置服务器主机名供证书主机名校验使用main.cSSL_connect(ssl)完成 DTLS 握手后进入读键盘输入 →SSL_write()发送 →SSL_read()等待回声的交互循环。3.5 收尾清理无论服务端还是客户端最终都统一走到exit:标签main.cSSL_shutdown()SSL_free()释放 SSL 对象SSL_CTX_free()释放上下文closesocket()关闭套接字。在非 Windows 平台main 开头还会signal(SIGPIPE, SIG_IGN)main.c避免客户端管道异常关闭时服务端被 SIGPIPE 信号打断——这对需要持续提供服务的 UDP 服务端尤为重要。四、生成自签名证书仓库自带的 cert.pem 与 key.pem 是 Common Name 为localhost的自签名证书直接跑 demo 即可使用。若要使用真实主机名可按 A-SSL-Docs.txt 中给出的命令自行生成有效期 10 年openssl req -newkey rsa:4096 -x509 -sha256 -days 3650 -nodes \ -out cert.pem -keyout key.pem交互过程中除 Common Name 外均可直接回车接受默认值Common Name 应填入localhost或实际主机名。文档特别指出同一对证书可以同时用于通信双方无论它们在同一台机器还是不同机器上——因为本 demo 中客户端信任的正是这份自签名证书本身。五、DTLS 与 TLS 的关键差异从源码看 DTLS 的工程要点对照 sslecho 的 TLS 版 main.c 与 dtlsecho 的 DTLS 版 main.c可以直观看到两种协议在工程实现上的差异维度TLSsslechoTCPDTLSdtlsechoUDP传输层SOCK_STREAM流式套接字SOCK_DGRAM数据报套接字套接字创建socket()bind()listen()BIO_lookup_ex()BIO_socket()BIO_listen()地址解析直接构造struct sockaddr_inBIO_lookup()BIO_ADDRINFO遍历客户端连接connect()建立真实 TCP 连接BIO_connect()仅设置默认对端地址MTU 管理无需显式设置DTLS_set_link_mtu()必须考虑分片握手 APISSL_accept()/SSL_connect()同名但底层走 DTLS 握手含重传与 cookie 校验从源码结构可以推断OpenSSL 之所以能在两套 demo 之间保持如此高的代码重合度正是因为SSL_*系列 API 对上层屏蔽了 TLS/DTLS 的差异——应用只需要选择正确的*_method()、用BIO_new_dgram()而非BIO_new_socket()之类的流式 BIO 包装套接字其余读写逻辑即可复用。六、扩展阅读参考同目录 A-SSL-Docs.txt 中整理的官方 API 文档入口与原始 Simple TLS Server 参考链接学习 DTLS 的 TCP 版本对照实现 demos/sslecho/README.md其中还包含 Encrypted Client Hello 变体echecho.c的说明若需构建全部 demos仓库根目录的 demos/Makefile 通过MODULES列表递归进入各子目录执行all/clean/test目标可作为批量构建的参考。【免费下载链接】opensslGeneral purpose TLS and crypto library项目地址: https://gitcode.com/GitHub_Trending/ope/openssl创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考 OpenSSL DTLSv1.3 回声客户端/服务端实战指南：从 demos/dtlsecho 到 SSL_write/SSL_read 的 UDP 安全通信
OpenSSL DTLSv1.3 回声客户端/服务端实战指南从 demos/dtlsecho 到 SSL_write/SSL_read 的 UDP 安全通信【免费下载链接】opensslGeneral purpose TLS and crypto library项目地址: https://gitcode.com/GitHub_Trending/ope/openssl本指南以 OpenSSL 仓库中的 demos/dtlsecho 演示程序为核心剖析如何基于 DTLSv1.3 协议构建一个跑在 UDP 之上的加密回声echo客户端与服务端。读者将掌握 DTLS 上下文创建、UDP 套接字与 datagram BIO 的绑定、SSL_accept()/SSL_connect()握手流程以及通过SSL_read()/SSL_write()在无连接协议上收发加密数据并学会用 OpenSSL 命令行生成自签名证书完成端到端验证。一、dtlsecho 是什么dtlsecho 是 OpenSSL 官方 demos 目录下的一个控制台应用实现了一个简单但完整的DTLSv1.3 回声客户端/服务端。它与同目录下的 sslecho 演示基于 TLS/TCP功能对等但底层传输从面向连接的 TCP 换成了无连接的 UDP这正是 DTLS 的核心使用场景——在不可靠、无连接的传输层之上提供与 TLS 等价的安全能力。该演示的核心设计要点通过命令行参数决定运行模式s表示服务端c hostname表示客户端不带参数启动会打印用法main.c 中 usage() 函数服务端监听固定端口4433static const int server_port 4433;见 main.c客户端在 DTLS 握手完成后从标准输入读取用户键盘输入通过SSL_write()发给服务端再用SSL_read()接收服务端原样返回的回声代码由 sslecho 演示适配而来将TLS_server_method()/TLS_client_method()替换为DTLS_server_method()/DTLS_client_method()并把 TCP 套接字换成 UDP 套接字。目录内共四个文件文件作用main.c完整的客户端/服务端实现约 420 行 C 代码README.md项目说明文档A-SSL-Docs.txt证书生成命令与参考链接速查cert.pem / key.pem自签名证书与私钥Common Name 为localhost二、编译与运行2.1 编译dtlsecho 依赖 OpenSSL 的libssl与libcrypto编译命令与仓库中 demos/sslecho/Makefile 的写法一致该 Makefile 给出了标准编译参数cc -I../../include -g -Wall -c main.c -o main.o cc -L../.. -o dtlsecho main.o -lssl -lcrypto编译成功后得到可执行文件dtlsecho。若链接的是共享库默认情况运行时需要保证libcrypto和libssl在库搜索路径上例如LD_LIBRARY_PATH../.. ./dtlsecho2.2 命令行用法程序通过参数区分角色对应 usage() 函数Usage: dtlsecho s --or-- dtlsecho c hostname cclient, sserver, hostnamehostname of serverdtlsecho s以服务端模式启动监听 UDP 4433 端口等待客户端 DTLS 连接dtlsecho c localhost以客户端模式启动连接指定主机名的 DTLS 服务端。2.3 双端联调步骤在同一个终端或两个终端分别执行# 终端 A启动服务端 ./dtlsecho s # 终端 B启动客户端连接本机 ./dtlsecho c localhost客户端启动后在标准输入中键入任意字符串并回车服务端会打印Received: 内容并原样回传客户端随后打印相同的回声内容。输入空行退出客户端若在服务端输入内容并回车服务端收到字符串kill\n会主动终止运行——这是源码中内置的kill switch逻辑见 main.c。三、核心实现剖析从 UDP 套接字到 DTLS 会话dtlsecho 的价值在于它把 DTLS 与裸 UDP 打交道的每一个环节都摊开在你面前。下面按数据流顺序拆解 main.c 的实现。3.1 创建 UDP 套接字服务端服务端通过 create_socket() 完成地址解析、建套接字与绑定用BIO_lookup_ex(NULL, 4433, BIO_LOOKUP_SERVER, AF_INET6, SOCK_DGRAM, 0, res)解析通配地址注意请求的是AF_INET6地址族用BIO_socket()创建SOCK_DGRAMUDP套接字用BIO_listen(s, addr, BIO_SOCK_REUSEADDR)绑定端口。注释中特别说明main.c请求AF_INET6得到的是一个双栈套接字——BIO_listen会清掉IPV6_V6ONLY从而同时服务 IPv6 与 IPv4 客户端并且BIO_SOCK_REUSEADDR隐含设置了SO_REUSEADDR便于快速重启。3.2 创建并限制 DTLS 上下文create_context() 展示了 DTLS 上下文创建的标准姿势if (isServer) method DTLS_server_method(); else method DTLS_client_method(); ctx SSL_CTX_new(method);最关键的差异在于为了让这个 demo 严格只跑 DTLSv1.3代码同时调用了SSL_CTX_set_min_proto_version(ctx, DTLS1_3_VERSION)与SSL_CTX_set_max_proto_version(ctx, DTLS1_3_VERSION)main.c把协议版本上下限都钉死在 DTLS1.3。DTLS1_3_VERSION来自openssl/dtls1.hmain.c 第 16 行包含该头文件。实际项目中若想同时兼容 DTLSv1.2则只需设置最小版本为DTLS1_2_VERSION。3.3 服务端流程SSL_accept 回声循环服务端主流程main.cconfigure_server_context()加载服务端证书与私钥SSL_CTX_use_certificate_chain_file(ctx, cert.pem)SSL_CTX_use_PrivateKey_file(ctx, key.pem, SSL_FILETYPE_PEM)main.c将已绑定的 UDP 套接字包装进 datagram BIObio BIO_new_dgram(server_skt, BIO_NOCLOSE)然后SSL_set_bio(ssl, bio, bio)同时作为读写通道调用DTLS_set_link_mtu(ssl, 1500)设置链路 MTUmain.c这是 DTLS 有别于 TLS 的重要一环——UDP 数据报需要分片管理MTU 影响握手与记录层的分片策略调用SSL_accept(ssl)完成 DTLS 握手进入回声循环SSL_read()接收客户端消息并原样SSL_write()回去。回声循环中有一个 DTLS 特有的细节main.c服务端发出 new session ticket 后需要等待客户端对票据的 ACK。因此在循环刚开始、客户端还没发来业务数据时SSL_read()可能返回 -1代码用一个received_new_session_ack标志区分尚未收到 ACK与真正的读错误避免误报连接异常。3.4 客户端流程地址解析 SSL_connect 交互循环客户端主流程main.cconfigure_client_context()设置证书校验SSL_CTX_set_verify(ctx, SSL_VERIFY_PEER, NULL)让客户端在校验失败时中止握手由于 demo 使用自签名证书用SSL_CTX_load_verify_locations(ctx, cert.pem, NULL)直接信任该证书。源码注释提示main.c真实应用应改用SSL_CTX_set_default_verify_paths()加载系统默认信任库用BIO_lookup(hostname, 4433, BIO_LOOKUP_CLIENT, AF_UNSPEC, SOCK_DGRAM, res)解析服务端地址IPv4/IPv6 均可然后遍历地址列表BIO_ADDRINFO_next()逐个尝试BIO_socket()BIO_connect()直到成功。注释指出main.c对 UDP 而言BIO_connect只是设置默认对端地址并不真正建立连接同样用BIO_new_dgram()包装套接字SSL_set_bio(ssl, bio, bio)调用SSL_set1_dnsname(ssl, rem_server_name)设置服务器主机名供证书主机名校验使用main.cSSL_connect(ssl)完成 DTLS 握手后进入读键盘输入 →SSL_write()发送 →SSL_read()等待回声的交互循环。3.5 收尾清理无论服务端还是客户端最终都统一走到exit:标签main.cSSL_shutdown()SSL_free()释放 SSL 对象SSL_CTX_free()释放上下文closesocket()关闭套接字。在非 Windows 平台main 开头还会signal(SIGPIPE, SIG_IGN)main.c避免客户端管道异常关闭时服务端被 SIGPIPE 信号打断——这对需要持续提供服务的 UDP 服务端尤为重要。四、生成自签名证书仓库自带的 cert.pem 与 key.pem 是 Common Name 为localhost的自签名证书直接跑 demo 即可使用。若要使用真实主机名可按 A-SSL-Docs.txt 中给出的命令自行生成有效期 10 年openssl req -newkey rsa:4096 -x509 -sha256 -days 3650 -nodes \ -out cert.pem -keyout key.pem交互过程中除 Common Name 外均可直接回车接受默认值Common Name 应填入localhost或实际主机名。文档特别指出同一对证书可以同时用于通信双方无论它们在同一台机器还是不同机器上——因为本 demo 中客户端信任的正是这份自签名证书本身。五、DTLS 与 TLS 的关键差异从源码看 DTLS 的工程要点对照 sslecho 的 TLS 版 main.c 与 dtlsecho 的 DTLS 版 main.c可以直观看到两种协议在工程实现上的差异维度TLSsslechoTCPDTLSdtlsechoUDP传输层SOCK_STREAM流式套接字SOCK_DGRAM数据报套接字套接字创建socket()bind()listen()BIO_lookup_ex()BIO_socket()BIO_listen()地址解析直接构造struct sockaddr_inBIO_lookup()BIO_ADDRINFO遍历客户端连接connect()建立真实 TCP 连接BIO_connect()仅设置默认对端地址MTU 管理无需显式设置DTLS_set_link_mtu()必须考虑分片握手 APISSL_accept()/SSL_connect()同名但底层走 DTLS 握手含重传与 cookie 校验从源码结构可以推断OpenSSL 之所以能在两套 demo 之间保持如此高的代码重合度正是因为SSL_*系列 API 对上层屏蔽了 TLS/DTLS 的差异——应用只需要选择正确的*_method()、用BIO_new_dgram()而非BIO_new_socket()之类的流式 BIO 包装套接字其余读写逻辑即可复用。六、扩展阅读参考同目录 A-SSL-Docs.txt 中整理的官方 API 文档入口与原始 Simple TLS Server 参考链接学习 DTLS 的 TCP 版本对照实现 demos/sslecho/README.md其中还包含 Encrypted Client Hello 变体echecho.c的说明若需构建全部 demos仓库根目录的 demos/Makefile 通过MODULES列表递归进入各子目录执行all/clean/test目标可作为批量构建的参考。【免费下载链接】opensslGeneral purpose TLS and crypto library项目地址: https://gitcode.com/GitHub_Trending/ope/openssl创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考