提示
X
本案例来自tskb,请前往tskb修改源内容:立即前往
'>

【AD】天窗改造https子链接无法加载,显示异常

|

问题描述

客户使用AD想实现解决天窗问题,目前客户需求是必须使用https,也就是必须要用SSL卸载,内网发布http服务,由AD做https,做完卸载发现天窗效果还是没有实现。

告警信息

第三方外链无法加载,外链已经改写成proxy相关连接。

处理过程

排查发现,直接访问改写过的外链是可以访问的,不过会跳转显示你访问的链接不受信任,是否继续访问。

根因

SSL卸载使用的证书是当前域名的,而天窗脚本改写过的域名是没有证书的,所以还要*.proxy.b.com域名的证书做一个SSL卸载。

解决方案

通过申请*.proxy.X.com的域名,再做一个SSL卸载。
此处提到的外链使用的SSL卸载策略,需要注意SNI的问题,proxy证书和主站使用的证书总共有两个,proxy的卸载策略不能填写SNI,主站的SNI必须填写颁发对象域名,虚拟服务关联两个SSL卸载策略,从上往下依次为主站SSL卸载策略、proxy卸载策略,遵循从上往下匹配,通过SNI区分,未匹配上SNI标识最终会匹配最后一条卸载策略。

建议与总结

建议发现天窗外链异常,建议先访问第三方外链真实连接资源看是否能访问。
补充:proxy卸载策略不填写SNI原因是,填写了会导致外链访问时候SSL握手不会下发证书。正式使用时,申请proxy证书需要证书费用。
小魚兒 发表于 2019-12-1 22:59
  
学习了 最近刚刚学习这一块

我要分享
文档编号: 90393
作者: 徐英俊ya
更新时间: 2019-11-29 22:11
适用版本: