azure - 不将 CERT 绑定(bind)到 azure 流量管理器(仅在 HTTPS 应用服务前面)主机名是否安全？

Question

假设，我有两个应用服务(仅启用 HTTPS):

https://myapp1.azurewebsites.net
https://myapp2.azurewebsites.net

我可以使用 HTTPS 成功调用两个应用服务端点。

然后我创建了一个流量管理器并将以上两个端点添加到流量管理器中，例如:

myapps.trafficmanager.net

创建流量管理器并添加端点后，流量管理器主机名 myapps.trafficmanager.net 也会自动添加到两个应用服务的自定义域中。但没有 SSL 绑定(bind)到流量管理器主机名。

然后，如果我使用 HTTPS 调用流量管理器端点:https://myapps.trafficmanager.net ，我会收到不受信任的 SSL 证书错误/警告。这是预期的结果。

由于流量管理器仅在 DNS 级别上工作，因此真正的请求实际上发送到具有正确 SSL 证书绑定(bind)的应用服务端点。我的问题是:

从安全角度来看，在我的代码中使用 HTTPS(例如，使用 .NET HttpClient)调用非证书绑定(bind)流量管理器 endpopint 是否安全但忽略证书错误？

Answer 1

我最近也设置了其中一个并与之斗争了一段时间。简而言之，它可能是安全的，但听起来您可能错误地使用了流量管理器。如果您想使用 SSL，则不应使用流量管理器中的 URL 作为端点。而是使用 DNS CNAME 记录将您的个性域名 mycoolsite.com 配置为指向 myapps.trafficmanager.net。

如果您想使用 SSL 和单个 URL，您应该配置自定义 URL 并在服务级别安装 SSL 证书。两个应用服务上的自定义 URL 应该相同。必须在应用程序服务 not in Traffic Manager 中进行配置。 .

我必须阅读this几次了解它在幕后是如何工作的，但这很有帮助。

总而言之，要正确设置它，步骤是:

1. 在两个应用服务上配置自定义/个性域
2. 在两个应用服务上安装 SSL 证书
3. 设置和配置流量管理器
4. 使用 DNS CNAME 记录将自定义/个性网址指向流量管理器