Ghostunnel是一个开源代理，可以为无法自行处理的程序处理TLS。
它有两个方向。在服务器模式下，它位于后端前面，接受TLS连接，检查客户端的证书，然后通过TCP或UNIX套接字将流量传递给它后面的服务。在客户端模式下，它反其反，监听普通本地连接，用TLS包装它们，并向远程服务呈现客户端证书。在两端放一个，双方都证明他们是谁，而应用程序继续说明文。
内部服务谈论纯文本，有人决定链接现在需要相互TLS，添加它的代码要么不存在，要么属于供应商。Ghostunnel将该工作从应用程序中取出，并赋予它一个自己的流程。
谁进来了
在服务器模式下，代理不会启动，直到您说出谁被允许通过。您至少选择一个检查：通用名称、组织单位、证书中的DNS或URI名称、公钥密码或策略。几个可以组合，它们是ORed。Ghostunnel了解SPIFFE ID，对于任何更相关的内容，它评估开放策略代理策略，该策略可以在隧道运行时重新加载。
证书来自哪里
密钥和证书可以来自PEM或PKCS#12文件、macOS钥匙串、Windows证书存储库、SPIFFE Workload API、包含YubiKey的PKCS#11硬件模块，或服务器模式下的Let’s Encrypt over ACME。证书在SIGHUP或计时器上重新加载，这就是短命凭证实用的原因：证书旋转，代理拾取新证书，没有任何东西重新启动。
两个默认值是值得了解的。Ghostunnel拒绝监听本地主机或UNIX套接字以外的任何东西，除非您传递--unsafe-listen，目标和--unsafe-target的规则相同。在Linux上，它与Landlock一起沙盒，除非你将其关闭。状态端口公开了JSON和Prometheus指标，因此现有监控可以看到隧道。
您将获得一个没有运行时依赖的静态Go二进制文件，为Linux、macOS、Windows和BSD构建，以及Apache 2.0许可证。有systemd和launchd套接字激活，以及想要了解原始连接的后端的PROXY协议v2。
Ghostunnel在GitHub上免费提供。
参考原文链接：https://www.helpnetsecurity.com/2026/11/04/ghostunnel-open-source-tls-proxy/
