概要

ReverseProxyをGAEで作成すると、既設のサーバを簡単にSSL対応にできる。
ここでいう簡単とは...
- サーバ証明書取得が不要
- httpサーバ(nginx/apache)の設定が不要
- （GCP上にプロジェクトを作成して）30分程度あればSSL化可能

経緯

Androidアプリを作成するチームから下記の困りごとを相談された。
「Android Pでアプリの動作確認をしていたら評価用サーバとの接続に問題が生じた。商用サーバでは問題ないんだけど...」

ここで、商用サーバはSSL化済み。評価用サーバは非SSL。

原因

Android P で TLS のデフォルト化によるユーザー保護

上記のページに記載されている通り、Android PではアプリがアクセスするサイトがSSLでない場合、アクセスを拒否する模様。これはアプリが使用するWeb上のAPIだけでなくWebViewに表示するコンテンツも対象になる模様？

もちろん回避方法はあるけど、せっかく商用サーバがSSL化しているのに評価用サーバが非SSLのままなのはよろしくない。じゃ評価用サーバもサーバ証明書を取得するかというと事務手続きも面倒だ。費用がかかるなら決済も必要だし...

対策

GAEでReverse Proxyを立てることにした。
GCP上にプロジェクトを作って下記の２つのファイルを用意しデプロイするだけ。

app.yaml

runtime: go112

handlers:
  - url: /.*
    script: auto
    secure: always

main.go

package main

import (
    "context"
    "log"
    "net/http"
    "net/http/httputil"
    "os"
)

// TargetHost はhttps化する対象のホスト
var TargetHost = "your.host"

type myTransport struct {
    Transport http.RoundTripper
    Context   context.Context
}

func main() {
    http.HandleFunc("/", handleFunc)

    port := os.Getenv("PORT")
    if port == "" {
        port = "8080"
        log.Printf("Defaulting to port %s", port)
    }

    log.Printf("Listening on port %s", port)
    if err := http.ListenAndServe(":"+port, nil); err != nil {
        log.Fatal(err)
    }
}

func handleFunc(w http.ResponseWriter, r *http.Request) {
    ctx := context.Background()

    director := func(request *http.Request) {
        request.URL.Scheme = "http"
        request.URL.Host = TargetHost
    }
    client := http.DefaultClient
    transport := &myTransport{
        Transport: client.Transport,
        Context:   ctx,
    }
    rp := &httputil.ReverseProxy{
        Director:  director,
        Transport: transport,
    }
    rp.ServeHTTP(w, r)
}

func (t *myTransport) transport() http.RoundTripper {
    if t.Transport == nil {
        return http.DefaultTransport
    }
    return t.Transport
}

func (t *myTransport) RoundTrip(req *http.Request) (*http.Response, error) {
    return t.transport().RoundTrip(req)
}

main.go内のTargetHostに対象のhttpサイトを指定する。

以下のコマンドでデプロイ

gcloud app deploy --project [project-id]

上記のデプロイが完了したらブラウザに"https://[project-id].appspot.com"を入力してSSL化できているか確認する。
なお、プロジェクトの課金設定を変更して「非課金」にしても評価目的であれば耐えられるはず。

タイトルに「GoogleAppEngineでサーバをSSL化する」とか書いちゃったけど、主な対象としてはグローバルIPだけ取得して、ドメイン取得していない評価用サーバ等になります。
Web上のAPIなら上記で問題ないと思いますが、WebViewに表示するコンテンツの場合、追加でリンクを適切に修正しないといけないですね。

更新

2020/08/18
元々 Go1.9(appengine 1st gen)用に書いていたコードをGo1.12(appengine 2nd gen)用に改めました。