ssl - 关于代理中间人攻击

Question

我有一个在 H2O 代理下运行的网站，我们称它为服务器。后端是使用 EasyEngine 脚本运行的 WordPress 站点，我们称它为 B 服务器。

现在它像这样运行:

用户 --(让我们加密 SSL)--> A(H2O 代理) --(自签名 SSL )--> B(nginx 后端)。

我想知道攻击者是否知道我后端的 IP 地址，那么他是否可以解密或做有害的事情或查看用户发送给代理的内容？以及如何制定更好的策略？

我也考虑过设置从 A 服务器到 B 服务器的 Let's Encrypt SSL。但我认为当 Let's Encrypt 只能在 A 服务器上更新证书时会出现问题，因为域指向 A 的 IP 地址。并且后端(B服务器)无法续订。

找到了这个答案，但我真的不知道该怎么做:https://serverfault.com/a/735977 .

Answer 1

听起来您正在尝试做的是将 LetsEncrypt 放入尽可能多的地方，可能面临这样的问题，即后端本身的适用后端没有按顺序使用所需的完全限定域名获取证书，尤其是自动更新。

但 LetsEncrypt 的全部和唯一目的是它为您提供预期会被所有主要浏览器识别的证书，这样用户就不必手动验证并将您的证书安装到他们各自的 cacert 中。 pem.

但是，如果您只需要在自己的后端和前端服务器之间建立安全连接，那么您就不会面临同样的问题；因此，使用 LetsEncrypt 提供的额外保护很少(如果有的话)。你所要做的就是使用类似 proxy_ssl_trusted_certificate 的东西, 连同 proxy_ssl_verify ，都在前端，将后端的证书和/或证书颁发机构固定在前端，这将比在后端使用 LetsEncrypt 更安全(由于固定)一个数量级。