如何正确配置CDN以支持SSL加密?

设置CDN SSL证书的步骤

申请SSL证书

1、选择合适的CA机构：选择一家受信任的证书颁发机构（CA），如阿里云云盾、腾讯云等，这些平台提供多种类型的SSL证书，包括免费和付费版本。

2、确定证书类型：根据域名的需求选择合适的证书类型，常见的有通配符域名证书、单个域名证书和多个域名证书，确保购买的证书适用于需要加速的域名。

3、申请证书并验证域名所有权：提交CSR（证书签名请求）文件，并通过DNS验证或文件验证的方式证明你对域名的所有权，验证通过后，CA机构将签发证书。

4、获取证书文件：从CA机构获取包含公钥和私钥的证书文件，证书文件为PEM格式，私钥需为无密码保护的RSA格式。

配置证书至CDN

1、登录CDN控制台：访问CDN服务提供商的管理控制台，如阿里云CDN或腾讯云CDN。

2、选择域名管理：在控制台左侧菜单栏中，选择“域名管理”，然后点击目标域名右侧的“管理”按钮，进入域名配置页面。

3、配置HTTPS：在域名配置页面中，切换到“HTTPS配置”选项卡，确认开启HTTPS服务。

4、上传证书：

新上传证书：点击“配置证书”按钮，选择“新上传证书”，填写证书名称（自定义），并将PEM格式的证书内容和私钥粘贴到对应位置。

已托管证书：如果已在SSL证书管理服务中托管了证书，可以选择“已托管证书”，系统会自动列出符合条件的证书供选择。

5、保存配置：完成证书信息的填写后，点击“保存”按钮，等待系统处理并应用配置。

6、验证配置：配置完成后，可以通过浏览器访问CDN加速的域名，查看是否出现HTTPS标识，以确认HTTPS配置是否生效。

常见问题及解决方案

1、证书不匹配错误：如果证书适用范围与CDN加速域名不匹配，会导致NET::ERR_CERT_COMMON_NAME_INVALID错误，确保证书适用于正确的域名。

2、私钥加密问题：CDN不支持使用加密的私钥文件，需解密后才能正常使用，可以使用OpenSSL工具进行解密：openssl rsa -in old_server_key.pem -out new_server_key.pem。

3、证书链不完整：对于中级CA机构提供的证书，需要补全中间证书，拼接规则为：服务器证书放第一份，中间证书放第二份，中间不要有空行。

4、强制跳转配置：可以在CDN控制台中配置强制跳转，将所有HTTP请求重定向为HTTPS请求，以提高安全性。

相关问答FAQs

1、源站已经配置了HTTPS，CDN上还需要配置HTTPS吗？

答：是的，即使源站已经配置了HTTPS，为了确保客户端到CDN节点之间的数据传输也是安全的，CDN上仍需配置HTTPS。

2、开启CDN的HTTPS加速后会额外收费吗？

答：是的，开启HTTPS功能后，CDN会根据产生的静态HTTPS请求数单独计费，支持按量后付费和资源包预付费模式，下行流量包不可抵扣HTTPS请求费用。