ssl - 使用 SNI 使用 HTTPS 对 Cloudfront 进行故障排除-6ren

ssl - 使用 SNI 使用 HTTPS 对 Cloudfront 进行故障排除

转载作者：太空宇宙更新时间：2023-11-03 12:58:04

我遇到的问题与 CloudFront error when serving over HTTPS using SNI 中的问题相似但不完全相同.我的域是 cartasblogatorias.com，Cloudfront URL 是 d2nmvk8sd34zkj.cloudfront.net。我有一个 CNAME 指向 Cloudfront URL 上的 cdn.cartasblogatorias.com:

$ dig cdn.cartasblogatorias.com CNAME
; <<>> DiG 9.8.4-rpz2+rl005.12-P1 <<>> cdn.cartasblogatorias.com CNAME
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 20775
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 4, ADDITIONAL: 0

;; QUESTION SECTION:
;cdn.cartasblogatorias.com. IN  CNAME

;; ANSWER SECTION:
cdn.cartasblogatorias.com. 300  IN  CNAME   d2nmvk8sd34zkj.cloudfront.net.

我的网站是纯 HTTPS 的，我也只为 HTTPS 设置了 Cloudfront 分布。我已成功将新证书上传到 IAM。证书 checkout ——这里是 SSL 实验室的结果:https://www.ssllabs.com/ssltest/analyze.html?d=cdn.cartasblogatorias.com&s=54.230.34.152&hideResults=on .

如果我尝试从 Cloudfront 检索文档，我会收到 Bad Gateway 错误。这是一个例子。

$ curl -v -i https://cdn.cartasblogatorias.com/wp-content/themes/blogatory2013/style.css
* About to connect() to cdn.cartasblogatorias.com port 443 (#0)
*   Trying 54.230.49.87...
* connected
* Connected to cdn.cartasblogatorias.com (54.230.49.87) port 443 (#0)
* successfully set certificate verify locations:
*   CAfile: none
CApath: /etc/ssl/certs
* SSLv3, TLS handshake, Client hello (1):
* SSLv3, TLS handshake, Server hello (2):
* SSLv3, TLS handshake, CERT (11):
* SSLv3, TLS handshake, Server key exchange (12):
* SSLv3, TLS handshake, Server finished (14):
* SSLv3, TLS handshake, Client key exchange (16):
* SSLv3, TLS change cipher, Client hello (1):
* SSLv3, TLS handshake, Finished (20):
* SSLv3, TLS change cipher, Client hello (1):
* SSLv3, TLS handshake, Finished (20):
* SSL connection using ECDHE-RSA-AES128-GCM-SHA256
* Server certificate:
*    subject: OU=Domain Control Validated; OU=PositiveSSL; CN=cdn.cartasblogatorias.com
*    start date: 2014-11-11 00:00:00 GMT
*    expire date: 2015-11-11 23:59:59 GMT
*    subjectAltName: cdn.cartasblogatorias.com matched
*    issuer: C=GB; ST=Greater Manchester; L=Salford; O=COMODO CA Limited; CN=COMODO RSA Domain Validation Secure Server CA
*    SSL certificate verify ok.
> GET /wp-content/themes/blogatory2013/style.css HTTP/1.1
> User-Agent: curl/7.26.0
> Host: cdn.cartasblogatorias.com
> Accept: */*
> 
* additional stuff not fine transfer.c:1037: 0 0
* HTTP 1.1 or later with persistent connection, pipelining supported
< HTTP/1.1 502 Bad Gateway
HTTP/1.1 502 Bad Gateway
< Content-Type: text/html
Content-Type: text/html
< Content-Length: 538
Content-Length: 538
< Connection: keep-alive
Connection: keep-alive
< Server: CloudFront
Server: CloudFront
< Date: Wed, 12 Nov 2014 23:31:49 GMT
Date: Wed, 12 Nov 2014 23:31:49 GMT
< X-Cache: Error from cloudfront
X-Cache: Error from cloudfront
< Via: 1.1 d4222c62b25c473e3144101cac9e476a.cloudfront.net (CloudFront)
Via: 1.1 d4222c62b25c473e3144101cac9e476a.cloudfront.net (CloudFront)
< X-Amz-Cf-Id: 8FfTtqnpL3SKc1o4yfcJxHxlHE6_XA40wslC8wmanU1sDPcuBBTzTw==
X-Amz-Cf-Id: 8FfTtqnpL3SKc1o4yfcJxHxlHE6_XA40wslC8wmanU1sDPcuBBTzTw==

< 
<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN" "http://www.w3.org/TR/html4/loose.dtd">
<HTML><HEAD><META HTTP-EQUIV="Content-Type" CONTENT="text/html; charset=iso-8859-1">
<TITLE>ERROR: The request could not be satisfied</TITLE>
</HEAD><BODY>
<H1>ERROR</H1>
<H2>The request could not be satisfied.</H2>
<HR noshade size="1px">
<BR clear="all">
<HR noshade size="1px">
<PRE>
Generated by cloudfront (CloudFront)
Request ID: gb2PWX0fp0WLPIWchwZu0s5RZOi5OnkJKfaDXjCiOMySxM3MzcJGXg==
</PRE>
<ADDRESS>
</ADDRESS>
* Connection #0 to host cdn.cartasblogatorias.com left intact
</BODY></HTML>* Closing connection #0
* SSLv3, TLS alert, Client hello (1):

如果我尝试使用云端 URL 而不是 CNAME，我会收到 403 错误而不是 502 错误。

$ curl -v -i d2nmvk8sd34zkj.cloudfront.net/wp-content/themes/blogatory2013/style.css
* About to connect() to d2nmvk8sd34zkj.cloudfront.net port 80 (#0)
*   Trying 54.230.49.84...
* connected
* Connected to d2nmvk8sd34zkj.cloudfront.net (54.230.49.84) port 80 (#0)
> GET /wp-content/themes/blogatory2013/style.css HTTP/1.1
> User-Agent: curl/7.26.0
> Host: d2nmvk8sd34zkj.cloudfront.net
> Accept: */*
> 
* additional stuff not fine transfer.c:1037: 0 0
* HTTP 1.1 or later with persistent connection, pipelining supported
< HTTP/1.1 403 Forbidden
HTTP/1.1 403 Forbidden
< Server: CloudFront
Server: CloudFront
< Date: Wed, 12 Nov 2014 23:36:33 GMT
Date: Wed, 12 Nov 2014 23:36:33 GMT
< Content-Type: text/html
Content-Type: text/html
< Content-Length: 538
Content-Length: 538
< Connection: keep-alive
Connection: keep-alive
< X-Cache: Error from cloudfront
X-Cache: Error from cloudfront
< Via: 1.1 18d45aa6695a141c1f24bfdb6749025d.cloudfront.net (CloudFront)
Via: 1.1 18d45aa6695a141c1f24bfdb6749025d.cloudfront.net (CloudFront)
< X-Amz-Cf-Id: EmskMTIcA44_RC_gXVjFbGMDn18MQ8e3Bl4fe3YbRAy9DKrH1CfJww==
X-Amz-Cf-Id: EmskMTIcA44_RC_gXVjFbGMDn18MQ8e3Bl4fe3YbRAy9DKrH1CfJww==

< 
<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN" "http://www.w3.org/TR/html4/loose.dtd">
<HTML><HEAD><META HTTP-EQUIV="Content-Type" CONTENT="text/html; charset=iso-8859-1">
<TITLE>ERROR: The request could not be satisfied</TITLE>
</HEAD><BODY>
<H1>ERROR</H1>
<H2>The request could not be satisfied.</H2>
<HR noshade size="1px">
<BR clear="all">
<HR noshade size="1px">
<PRE>
Generated by cloudfront (CloudFront)
Request ID: EmskMTIcA44_RC_gXVjFbGMDn18MQ8e3Bl4fe3YbRAy9DKrH1CfJww==
</PRE>
<ADDRESS>
</ADDRESS>
* Connection #0 to host d2nmvk8sd34zkj.cloudfront.net left intact
</BODY></HTML>* Closing connection #0

在尝试检索这些文档后，我在 access.log 文件或 error.log 文件中都没有看到任何相关条目，所以在我看来，cloudfront 甚至没有尝试从我的服务器检索文档。

我有另一个具有完全相同设置的网站，这没有问题。

$ curl -v -i https://cdn.lettersblogatory.com/wp-content/themes/blogatory2013/style.css
* About to connect() to cdn.lettersblogatory.com port 443 (#0)
*   Trying 54.230.51.124...
* connected
* Connected to cdn.lettersblogatory.com (54.230.51.124) port 443 (#0)
* successfully set certificate verify locations:
*   CAfile: none
CApath: /etc/ssl/certs
* SSLv3, TLS handshake, Client hello (1):
* SSLv3, TLS handshake, Server hello (2):
* SSLv3, TLS handshake, CERT (11):
* SSLv3, TLS handshake, Server key exchange (12):
* SSLv3, TLS handshake, Server finished (14):
* SSLv3, TLS handshake, Client key exchange (16):
* SSLv3, TLS change cipher, Client hello (1):
* SSLv3, TLS handshake, Finished (20):
* SSLv3, TLS change cipher, Client hello (1):
* SSLv3, TLS handshake, Finished (20):
* SSL connection using ECDHE-RSA-AES128-GCM-SHA256
* Server certificate:
*    subject: OU=Domain Control Validated; OU=PositiveSSL; CN=cdn.lettersblogatory.com
*    start date: 2014-09-01 00:00:00 GMT
*    expire date: 2015-09-01 23:59:59 GMT
*    subjectAltName: cdn.lettersblogatory.com matched
*    issuer: C=GB; ST=Greater Manchester; L=Salford; O=COMODO CA Limited; CN=COMODO RSA Domain Validation Secure Server CA
*    SSL certificate verify ok.
> GET /wp-content/themes/blogatory2013/style.css HTTP/1.1
> User-Agent: curl/7.26.0
> Host: cdn.lettersblogatory.com
> Accept: */*
> 
* additional stuff not fine transfer.c:1037: 0 0
* HTTP 1.1 or later with persistent connection, pipelining supported
< HTTP/1.1 200 OK
HTTP/1.1 200 OK
< Content-Type: text/css
Content-Type: text/css
< Content-Length: 3986
Content-Length: 3986
< Connection: keep-alive
Connection: keep-alive
< Date: Wed, 12 Nov 2014 23:49:46 GMT
Date: Wed, 12 Nov 2014 23:49:46 GMT
< Server: Apache
Server: Apache
< Last-Modified: Tue, 07 Oct 2014 02:30:12 GMT
Last-Modified: Tue, 07 Oct 2014 02:30:12 GMT
< ETag: "2617e-f92-504cbfa940334"
ETag: "2617e-f92-504cbfa940334"
< Accept-Ranges: bytes
Accept-Ranges: bytes
< Cache-Control: max-age=604800
Cache-Control: max-age=604800
< Expires: Wed, 19 Nov 2014 23:49:46 GMT
Expires: Wed, 19 Nov 2014 23:49:46 GMT
< Strict-Transport-Security: max-age=15552000; includeSubDomains
Strict-Transport-Security: max-age=15552000; includeSubDomains
< Vary: Accept-Encoding
Vary: Accept-Encoding
< X-Cache: Miss from cloudfront
X-Cache: Miss from cloudfront
< Via: 1.1 c29727627b176634b1d591f0d7a258d7.cloudfront.net (CloudFront)
Via: 1.1 c29727627b176634b1d591f0d7a258d7.cloudfront.net (CloudFront)
< X-Amz-Cf-Id: egp0Hu5XVUeedCJNJ2Xu0R8xbex5DjJFXxZoUXJVBg5aciSIWA6SfA==
X-Amz-Cf-Id: egp0Hu5XVUeedCJNJ2Xu0R8xbex5DjJFXxZoUXJVBg5aciSIWA6SfA==

[Contents of the file here] 

* Connection #0 to host cdn.lettersblogatory.com left intact
* Closing connection #0
* SSLv3, TLS alert, Client hello (1):

据我所知，这两个网站的云端设置是相同的。问题站点有一个全新的证书。另一个证书较旧。

我推测问题可能与较新的证书有关，该证书是由于 SHA1 弃用而使用 SHA2 颁发的，但我不知道为什么会这样，也不知道该怎么办。感谢所有建议。

谢谢!

最佳答案

回答了我自己的问题。问题不在于我上传到 Cloudfront 的证书；它与原始服务器上的证书一起使用。该证书适用于网页浏览，但证书在中间证书文件中的顺序不稳定。更具体地说，当我最初从 Comodo 获得证书时，我错误地选择了“Apache + OpenSSL”而不是“Apache + Mod SSL”。我重新颁发了证书并使用新证书重新启动了我的 Apache 服务器，Cloudfront 现在可以连接到服务器了。

关于ssl - 使用 SNI 使用 HTTPS 对 Cloudfront 进行故障排除，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/26898977/

文章推荐： python - 如何将方括号中嵌入的一串字母转换为嵌入列表

文章推荐： python - 使用 Flask Cache 和 memcached 存储简单的键值对

https - HTTPS 如何防止重放攻击？
发起 HTTPS 对话时，会生成一个随机数来为交换创建 key (或类似的东西)。我不明白这是如何防止重放攻击的。为什么攻击者不能重复真实客户端发出的所有请求？ This answer claims
https - HTTPS 请求是什么样的？
要使这个简单的 HTTP header 与支持 HTTPS 的服务器通信，还需要进行哪些其他更改。 GET /index.php HTTP/1.1 Host: localhost [CR] [CR]
https - HTTPS 是有状态的还是无状态的？
我想弄清楚 HTTPS 是有状态还是无状态？这是关于我构建的 RESTful API。我们最初使用 HTTP。由于 HTTP 本质上是在无状态的 TCP/IP 上工作的，因此 HTTP 是无状态的，但
https - HTTPS 握手何时发生？
我从各种来源了解到，HTTPS 握手是使用 HTTPS 中最重要的部分。我在服务器之间内部使用 POST 来传达信息，并希望为此使用 HTTPS。我想知道实际的 HTTPS 握手持续多长时间/“保持打
https - HTTPS 如何提供安全性？
我想知道HTTPS是如何实现的。是数据加密还是路径加密(数据通过哪个路径)。如果有人向我提供实现细节，我将不胜感激。最佳答案很简单，HTTPS 使用安全套接字层来加密客户端和服务器之间传输的数据。
https - https 有什么用？
我是 HTTPS 技术的初学者:(。我对 HTTPS 的实现有一些疑问。假设我有一张注册表 http://www.sitename.com/register.php 如果我想在 HTTPS 中使用它
https - 更改设计确认链接以使用 https
在带有 Devise 1.51 的 Rails 3.1.1 应用程序中，我希望确认消息中使用的确认链接是 https 而不是 http。因此，在电子邮件中，“确认链接”会指向如下内容: https:/
https - Https 真的使用传输层安全吗
我对 HTTPS 有疑问。我的一位前辈告诉我，Https 实际上并不使用 SSL/TLS，而只是使用它们的加密算法。他说，证书的握手过程是在传输层完成的，但实际有效负载的安全 key 加密是在应用层完
https - https 上的邮件()
我建立了一个使用 PHP mail() 的网站。如果我在 http://上点击脚本，我可以让它成功运行，但如果我切换到 https://它就不起作用了!我使用 Godaddy 进行托管，并通过他们购买
ssl - 从 https 和 https ://www. 重定向到 https://www
我最近更改了域并设置了来自 https://sadlergatestoyou.co.uk 的重定向至https://www.sadlergates.co.uk但是，www.sadlergatestoy
Java https 代理(使用 https.proxyPort 和 https.proxyHost)
我正在制作一个依赖于设置 http.proxyPort 和 http.proxyHost 的 Java 应用程序。有两个进程:一个是正则程序，一个是代理程序。我有一个在 http.proxyPort(
https - 如何在 ring/compojure 中启用 https 和 http->https 重定向
我正在开发一个 RESTful 应用程序，为此我需要将从 http 地址传入的请求重定向到它的 https 等效项。我似乎无法使用 ring/compojure 启用 https。有人有一些有用的教
.htaccess - 重定向http=>https(非www)+ www https=>非www https(www 无证书)
我看过很多关于重写的文章。都好。但没有一个涵盖这种具体情况。所以这是我的问题:希望你能帮忙。因为我无法让它发挥作用。我们在domain.com(非www)上运行网站我们已设置 ssl(因此仅限 h
https - 自动化 https 请求的最简单方法
我需要将大量请求自动提交到基于云的数据库接口(interface) (Intelex)。没有任何方法可以批量提交某些操作，但是提交单个请求所必需的只是让经过身份验证的用户尝试打开 Web 链接。因此，
https - 调试 Jetty https
我正在使用 https 设置一个独立的(非嵌入式) jetty 9.2.1。我在本地机器上使用自签名证书玩了一会儿，一切顺利。现在我正在设置一个 uat 服务器(类似于我将在生产中获得的服务器)，
https - 在通过 HTTPS 发送密码之前是否需要对密码进行哈希处理？
我对 Web 开发(从今年 1 月开始)和 Web 安全(在不到一周前开始!)都是新手，所以如果我的问题完全没有受过教育、误导或简单愚蠢，请原谅我。我工作的公司的主要产品是一个很好的老式客户端/服务
https - HTTPS header 的加密
HTTPS头是否加密到什么程度(如果有的话)？最佳答案它们在通过SSL传输时被加密。没有专门用于 header 的特殊加密，HTTPS对整个消息进行加密。关于https - HTTPS head
https - 如何防止来自服务器端的 HTTPS 中间人攻击？
在 HTTPS 安全模型中，最薄弱的部分是浏览器中的可信 CA 列表。有人可以通过多种方式将额外的 CA 添加到用户信任错误的人的列表中。例如，您公司的公用计算机或 PC。管理员可能会强制您信任自己
https - PHP、HTTPS、表单提交
我们最近切换到 HTTPS，当提交我们的一个表单时，Firefox 会弹出: Although this page is encrypted, the information you have ent
https - 通过 HTTPS 转换广告
我知道没有愚蠢的问题，但这是:您能否在完全支持 https 的网站上通过 AdSense 或其他方式转换基于上下文的广告？最佳答案更新: We’ve updated the AdSense ad

太空宇宙

个人简介

我是一名优秀的程序员,十分优秀！

作者热门文章

滴滴打车优惠券免费领取

全站热门文章

首页

博学

6Ren·AI

商城

ssl - 使用 SNI 使用 HTTPS 对 Cloudfront 进行故障排除