#原创分享#记录一次AD-ssl卸载实战
  

雷安陈九创 79561人觉得有帮助

{{ttag.title}}
本帖最后由 雷安陈九创 于 2020-2-11 20:55 编辑

客户需求:门户网站从http访问形式改成https访问形式以满足安全需求
知识点:ssl卸载
重点:ssl权威三方证书申请
相关其他具体配置你可以从社区和机器人获得,唯独ssl证书的申请没有,我来补全他。
客户的门户域名是在阿里云注册的,百度一下就能知道阿里云的域名,https://www.aliyun.com/
他是一个域名提供商,类似的还有腾讯云。
这个项目我有一个幸运,一个不幸,幸运的是阿里云不光能提供域名服务,而且还提供ssl公网证书的申请,有免费的,重点强调3次!!!必须用同一个账号申请域名和证书,跨账号不行。阿里云提供免费的赛门铁克symantec证书,试用有效期好像一年,全网认可,这个ssl证书的目的就是为了全网用户访问客户门户的时候不弹出告警,提高逼格。
不幸的是客户这边还有360云盾服务,不了解的自行百度云盾是啥,我理解他就是一个公网的代理,而且是强制代理,在阿里云上配置cname指向360云盾平台,进行安全过滤,然后回源ip再到客户出口,这个回源ip还会造成一些问题,以后再说吧。
所以我们的ad不能直接进行ssl卸载,必须经过360云盾,他们叫安域,如果我们单方面进行https改造,用户就会显示无法访问网页,因为360云盾不认https的包,怎么办呢,必须把360云盾的ssl改造也一起完成,然后通过我们ad进行ssl卸载,ad与客户服务器通过http来通讯,好好品品吧。简单画一下就是:用户--https--360云盾--https--ad--http--门户服务器,大概就是这样。
说点题外话,行业规矩是别人家设备不能碰,但如果这个项目我跟客户说360云盾我管不了,需要客户自己协调,项目基本就黄了,折中的办法是,说服客户配合你,由你来主动协调,其实重点就几个,360云盾ip账号密码,360技术配合,如果配合不理想,协调360相关400电话,大厂家的服务还是可以的。
所以在我和客户共同努力下把360云盾的ssl配置也完成了,其实很简单,但隔行如隔山。
ad首推模式是单臂,因为测试环境对网络影响几乎很小,还有几个点跟大家强调一下。
ad单臂模式势必涉及到客户出口路由做目的nat映射到ad,最好端口一一对应,例如443对应443,逻辑简单清晰,当然如果非不整对应的也可以,你想明白就行。
ad新版本dns路由有系统默认的,能不能改我还没研究,如果客户用户是从联通线路进来的,你dns从电信走,会产生不可预知的问题,比如某些业务苹果手机好使,安卓手机不行,尤其涉及到域名解析的,跟微信对接的。
能想到的就这么多了,我的原始截图很散乱,我也没有心力来整理了,如果想要的话给我发邮件349684385@qq.com,看到必回,注意保密,悄悄地。

打赏鼓励作者,期待更多好文!

打赏
3人已打赏

雷安陈九创 发表于 2020-2-11 20:53
  
本帖最后由 雷安陈九创 于 2020-2-11 20:56 编辑

补充一句,如果ad是做出口,记得把虚拟服务器里面的回源ip勾掉,方便溯源,默认是勾选的,下*火墙看到的源ip全是ad的ip。
新手548437 发表于 2020-2-12 23:10
  
感谢分享。
清风慕竹 发表于 2020-2-15 14:40
  
终于看到我膜拜的大神恢复了,实话实说我对AD的部署还处在小白的阶段,期待楼主多多的分享!
新手548437 发表于 2020-2-18 15:38
  
感谢分享。
一帆凤顺 发表于 2020-2-19 14:45
  
感谢大神的分享,很不错
adds 发表于 2020-2-19 15:02
  
这个360的云盾作用和深信服的云盾功能是一致的,都是引流和过滤流量。

协调其他厂商搞是最麻烦的,运气好都OK,运气不好凉凉了。
叶庆豪 发表于 2020-2-19 16:58
  
最近在学习AD,先收藏一下,感谢分享
新手781833 发表于 2020-2-19 20:59
  

步骤详细,写的真好,有机会了也体验下深信服的AD

MMC 发表于 2020-2-20 10:25
  
标记一下一会看看
发表新帖
热门标签
全部标签>
技术盲盒
西北区每日一问
安全效果
干货满满
每日一问
技术笔记
新版本体验
【 社区to talk】
功能体验
技术咨询
产品连连看
GIF动图学习
标准化排查
2023技术争霸赛专题
每周精选
信服课堂视频
通用技术
自助服务平台操作指引
秒懂零信任
技术晨报
安装部署配置
答题自测
原创分享
升级&主动服务
社区新周刊
POC测试案例
畅聊IT
专家问答
技术圆桌
在线直播
MVP
网络基础知识
升级
安全攻防
上网策略
测试报告
日志审计
问题分析处理
流量管理
每日一记
运维工具
云计算知识
用户认证
解决方案
sangfor周刊
VPN 对接
项目案例
SANGFOR资讯
专家分享
技术顾问
信服故事
SDP百科
功能咨询
终端接入
授权
设备维护
资源访问
地址转换
虚拟机
存储
迁移
加速技术
排障笔记本
产品预警公告
玩转零信任
信服圈儿
S豆商城资讯
技术争霸赛
「智能机器人」
追光者计划
深信服技术支持平台
社区帮助指南
答题榜单公布
纪元平台
卧龙计划
华北区拉练
天逸直播
以战代练
山东区技术晨报
文档捉虫活动
齐鲁TV
华北区交付直播
2024年技术争霸赛
北京区每日一练
场景专题
故障笔记
排障那些事
高手请过招
高频问题集锦
全能先锋系列
云化安全能力

本版达人

新手61940...

本周建议达人

zhao_HN

本周分享达人

ZSFKF

本周提问达人