Recientemente para ayudar a los amigos a lidiar con el servidor fue DDoS cosa, encontr\u00f3 un problema bastante fatal - mucha gente pensaba en la CDN de alta defensa en todo est\u00e1 bien, los resultados del certificado SSL no entend\u00eda, el tr\u00e1fico no fue al nodo de alta defensa fue perforado. En estos d\u00edas, incluso el CDN tiene que \u201cevitar que los compa\u00f1eros de equipo\u201d, los detalles de configuraci\u00f3n realmente puede matar a la gente.<\/p>\n
He visto la situaci\u00f3n m\u00e1s escandalosa es una estaci\u00f3n de comercio electr\u00f3nico con un top soluciones de alta seguridad, pero debido a la falta de cadena de certificados, los usuarios de Apple todos los pop advertencia de seguridad, la p\u00e9rdida del d\u00eda 23% iOS \u00f3rdenes. certificados ssl esta cosa es igual que el cilindro de la cerradura de la puerta de seguridad de su casa, se ve discreto, realmente fuera de la cuesti\u00f3n cuando se puede salvar su vida.<\/p>\n
\u00bfPor qu\u00e9 es m\u00e1s importante prestar atenci\u00f3n a los certificados en entornos de alta defensa?<\/strong>En los despliegues tradicionales de un solo servidor, el uso indebido de certificados puede revertirse r\u00e1pidamente. Sin embargo, en la arquitectura CDN, la actualizaci\u00f3n de certificados implica la sincronizaci\u00f3n global de los nodos perif\u00e9ricos, lo que puede provocar la interrupci\u00f3n del acceso global en caso de configuraci\u00f3n err\u00f3nea. Especialmente en servicios de programaci\u00f3n inteligente como CDN5, el estado del certificado afecta directamente a la estrategia de asignaci\u00f3n de tr\u00e1fico.<\/p>\n La prueba encontr\u00f3 tres fallos de alta frecuencia: en primer lugar, la cadena del certificado est\u00e1 incompleta, lo que resulta en un fallo de confianza del dispositivo Android, en segundo lugar, el error de formato de clave desencaden\u00f3 la ca\u00edda del nodo de borde Nginx, y en tercer lugar, el certificado expir\u00f3 despu\u00e9s de que el proveedor de servicios CDN se degradara autom\u00e1ticamente a HTTP (08Host ha hecho esto). No me preguntes c\u00f3mo lo s\u00e9, es toda una lecci\u00f3n de sangre y l\u00e1grimas.<\/p>\n Empecemos por c\u00f3mo conseguir certificados gratuitos.Let's Encrypt es ahora un est\u00e1ndar de la industria, pero mucha gente no se da cuenta de que su protocolo ACME ya admite certificados comod\u00edn. Yo suelo usar el esquema acme.sh, que es m\u00e1s ligero que certbot:<\/p>\n Tenga en cuenta que aqu\u00ed se utiliza la autenticaci\u00f3n DNS en lugar de la autenticaci\u00f3n HTTP habitual. Dado que las CDN de alta defensa suelen ocultar la IP de origen, la autenticaci\u00f3n HTTP suele fallar por timeout. Necesidad de ir a la parte del proveedor de resoluci\u00f3n de nombres de dominio para configurar los registros TXT, aunque un paso m\u00e1s para operar, pero la tasa de \u00e9xito de 100%.<\/p>\n No se apresure a desplegar despu\u00e9s de la solicitud de certificado tiene \u00e9xito, comprobar la integridad de la cadena en primer lugar. Una vez fui bastante lanzado - obviamente el acceso del navegador es normal, pero el cliente Java todos los errores reportados. M\u00e1s tarde se encontr\u00f3 que falta el certificado intermedio:<\/p>\n La cadena completa debe contener tres partes: el certificado de dominio, el certificado intermedio Let's Encrypt R3 y el certificado ra\u00edz ISRG. La consola de CDN07 crear\u00e1 autom\u00e1ticamente la cadena completa, pero CDN5 debe cargar el archivo de cadena completa manualmente.<\/p>\n Pasemos ahora al segmento del despliegue focalizado.<\/strong>Las operaciones var\u00edan mucho de un proveedor de CDN a otro:<\/p>\n La consola de 08Host es la m\u00e1s antihumana, de hecho pide fusionar la clave privada y el certificado en un archivo pem:<\/p>\n El formato incorrecto conduce directamente al nodo nacional 502, el tel\u00e9fono de atenci\u00f3n al cliente puede romperse. Se recomienda verificar la configuraci\u00f3n con un dominio de prueba en primer lugar, y luego cortar el nombre de dominio principal despu\u00e9s de 10 minutos de observaci\u00f3n a escala de grises.<\/p>\n La interfaz API de CDN5 est\u00e1 bastante bien hecha para la gesti\u00f3n con scripts automatizados. Aqu\u00ed est\u00e1 la parte central del script de renovaci\u00f3n de certificados que escrib\u00ed en Python:<\/p>\n No crea en algunos tutoriales que dicen \u201cbasta con poner la fecha de caducidad del certificado en renovaci\u00f3n autom\u00e1tica\u201d. El mecanismo de cach\u00e9 de la CDN de alta defensa puede provocar que la renovaci\u00f3n real del certificado se retrase hasta 4 horas. Lo mejor es establecer un recordatorio en el calendario con 30 d\u00edas de antelaci\u00f3n, yo sol\u00eda hacer tres operaciones de renovaci\u00f3n 15 d\u00edas, 7 d\u00edas y 3 d\u00edas antes de la fecha de caducidad.<\/p>\n Hablando de automatizaci\u00f3n, acme.sh realmente viene con integraci\u00f3n CDN. Soporta plataformas comunes como Aliyun, Tencent Cloud, Cloudflare, etc., pero los proveedores de servicios de alta defensa necesitan escribir sus propios scripts hook. Merece la pena consultar este caso de despliegue a CDN07:<\/p>\n Presta atenci\u00f3n a la seguridad de las claves al automatizar los despliegues. En una ocasi\u00f3n, una empresa codific\u00f3 la clave de la API en un script y lo subi\u00f3 a GitHub, lo que provoc\u00f3 que una banda de chantajistas robara el certificado para emitir un nombre de dominio malicioso. Se recomienda utilizar un esquema de clave din\u00e1mica que actualice autom\u00e1ticamente el token de acceso a la API cada 24 horas.<\/p>\n Unas palabras finales sobre la selecci\u00f3n del tipo de certificado. Mientras que los certificados gratuitos son fragantes, los de pago se recomiendan para escenarios de nivel empresarial. No es el dinero lo que quema, sino porque los certificados OV (Organisation Validation) y EV (Extended Validation) tienen mejor compatibilidad con el Trusted Root Certificate Store. Algunas agencias gubernamentales o aplicaciones bancarias incluso exigen certificados EV o se niegan a conectarse.<\/p>\n El problema m\u00e1s extra\u00f1o que me he encontrado: un cliente utilizaba certificados GeoTrust, pero siempre informaba de un error de confianza en Sud\u00e1frica. M\u00e1s tarde, la captura de paquetes descubri\u00f3 que el operador local secuestraba el proceso de handshake SSL. La soluci\u00f3n fue forzar la activaci\u00f3n de \u201cHSTS\u201d en la configuraci\u00f3n de la CDN y precargarlo en el n\u00facleo del navegador:<\/p>\n Mirando ahora hacia atr\u00e1s, la configuraci\u00f3n de certificados SSL es en realidad un oficio de expertos. Pero cada eslab\u00f3n puede esconder un pozo profundo, desde el formato del certificado, la integridad de la cadena, la sincronizaci\u00f3n del despliegue hasta la depuraci\u00f3n de la compatibilidad, donde el error puede hacer que te despiertes en mitad de la noche. Se recomienda elaborar una lista de comprobaci\u00f3n y marcar cada punto cada vez que se opera:<\/p>\n Una vez me llamaron a las tres de la ma\u00f1ana para solucionar un fallo de certificado, y descubr\u00ed que el nodo de borde de la CDN almacenaba en cach\u00e9 el certificado caducado. M\u00e1s tarde, me acostumbr\u00e9 a borrar siempre la cach\u00e9 de la CDN despu\u00e9s de actualizar el certificado:<\/p>\n Para ser sincero, las soluciones de automatizaci\u00f3n de certificados ya est\u00e1n bien establecidas, pero yo sigo insistiendo en revisar manualmente los pasos clave. Las m\u00e1quinas ahorran tiempo, pero la gente piensa en las excepciones. Al fin y al cabo, cuando las cosas van mal, el jefe no quiere o\u00edr: \u201cEs culpa del script de automatizaci\u00f3n\u201d.<\/p>\n Recientemente encontr\u00f3 CDN5 lanz\u00f3 un servicio de alojamiento de certificados, puede ser renovado autom\u00e1ticamente y desplegado, la velocidad de respuesta medida que 08Host mucho m\u00e1s r\u00e1pido. Pero la operaci\u00f3n de la vieja escuela y el mantenimiento como yo, o m\u00e1s confianza en s\u00ed mismos para controlar todo el proceso. Tal vez esta es la terquedad de los t\u00e9cnicos de mediana edad - prefiere escribir 200 l\u00edneas de script, pero tambi\u00e9n no quieren dar la puerta a los dem\u00e1s.<\/p>\n Espero que estas experiencias le ayuden a sentirse menos frustrado. Recuerda, no existe el noventa y nueve por ciento de seguridad, s\u00f3lo el cero y el cien. Un trabajo b\u00e1sico como la configuraci\u00f3n de certificados merece la actitud m\u00e1s paranoica que puedas reunir.<\/p>","protected":false},"excerpt":{"rendered":" Recientemente para ayudar a los amigos a lidiar con el servidor fue DDoS cosa, encontr\u00f3 un problema bastante fatal - mucha gente pensaba en la CDN de alta defensa en todo est\u00e1 bien, los resultados del certificado SSL no entend\u00eda, el tr\u00e1fico no fue al nodo de alta defensa fue perforado. En estos d\u00edas, incluso el CDN tiene que \u201cevitar que los compa\u00f1eros de equipo\u201d, los detalles de configuraci\u00f3n realmente puede matar a la gente. He visto la situaci\u00f3n m\u00e1s escandalosa es una estaci\u00f3n de comercio electr\u00f3nico con un esquema de alto nivel de defensa, pero debido a la falta de cadena de certificados, los usuarios de Apple todos los pop advertencia de seguridad, la p\u00e9rdida de 23% iOS \u00f3rdenes. certificado SSL esta cosa es como el cilindro de la cerradura de la puerta de seguridad de su casa, se ve discreto, realmente fuera de la cuesti\u00f3n cuando se puede salvar su vida. \u00bfPor qu\u00e9 tenemos que prestar m\u00e1s atenci\u00f3n a los certificados en un entorno de alta defensa? En el despliegue tradicional de un solo servidor, el uso indebido de certificados puede revertirse r\u00e1pidamente. Sin embargo, en la arquitectura CDN, la actualizaci\u00f3n de certificados implica la sincronizaci\u00f3n global de los nodos perif\u00e9ricos.<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-1021","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/1021","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/comments?post=1021"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/1021\/revisions"}],"predecessor-version":[{"id":1104,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/1021\/revisions\/1104"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/media?parent=1021"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/categories?post=1021"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/tags?post=1021"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/collection?post=1021"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}