行业资讯

流量路径变化：用户访问域名→CNAME 解析至高防 IP 节点→高防节点验证证书→清洗攻击流量→正常流量回源至源站；

潜在冲突点：高防节点的域名与源站证书域名不匹配、证书链未同步至防护节点、加密协议版本不兼容等，均会导致浏览器不信任证书。

• 源站证书绑定域名为 www.example.com；

• 高防 IP 分配的 CNAME 域名为 exampleprotected.yun.com（防护厂商提供的二级域名）；

• 用户访问 www.example.com 时，高防节点使用 exampleprotected.yun.com 对应的证书（或未匹配证书），导致域名与证书不匹配。

方案 1：证书覆盖高防 CNAME 域名（推荐）：

• 重新申请包含 “源站域名 + 高防 CNAME 域名” 的多域名证书（如证书绑定 www.example.com 和 exampleprotected.yun.com）；

• 若高防厂商支持 “自定义 CNAME”，可将高防 CNAME 设置为源站域名的子域名（如 highdefense.example.com），确保证书能覆盖该子域名。

方案 2：调整解析配置（适合无法重新申请证书场景）：

• 在高防 IP 控制台，将 “证书绑定域名” 设置为源站域名（www.example.com）；

• 确保 CNAME 解析的目标域名（高防节点）已在源站证书的 “允许域名列表” 中，部分高防厂商支持 “证书域名与解析域名分离”，需联系厂商开启该功能。

更新为泛域名证书：

• 申请泛域名证书（如 *.example.com），可覆盖所有 example.com 的二级子域名（包括高防 IP 生成的子域名），一劳永逸解决子域名覆盖问题；

• 注意：泛域名证书仅覆盖二级域名，若高防子域名为三级（如 cdn.abc.example.com），需申请 *.abc.example.com 的泛域名证书。

临时调整解析（应急方案）：

• 若无法立即更换泛域名证书，可联系高防厂商将防护子域名调整为证书已覆盖的域名（如 highdefense.example.com），确保与单域名证书匹配。

证书链缺失：仅上传服务器证书，未同步上传中间证书，浏览器无法追溯至根证书；

拼接顺序错误：证书文件中顺序为 “根证书→中间证书→服务器证书”，正确顺序应为 “服务器证书→中间证书→根证书”；

格式不兼容：高防 IP 平台仅支持 PEM 格式（文件以 -----BEGIN CERTIFICATE----- 开头），若上传 PFX（带密码的二进制格式）或 DER（二进制格式），会导致证书无法解析。

检查并补全证书链：

• 使用在线工具（如 SSL Labs SSL Test、SSL Checker）验证证书链完整性，工具会提示 “缺失的中间证书”；

• 从证书颁发机构（CA）官网下载对应中间证书，将 “服务器证书 + 中间证书 + 根证书” 按正确顺序拼接为一个 PEM 文件（根证书可省略，浏览器通常预装主流根证书）。

规范证书格式：

• 若证书为 PFX 格式，通过 OpenSSL 命令转换为 PEM 格式（需输入 PFX 密码）：

# 将PFX格式转换为PEM格式（包含证书和私钥）openssl pkcs12 -in cert.pfx -out cert.pem -nodes# 分离证书和私钥（部分高防平台需分别上传）openssl x509 -in cert.pem -out server.crt  # 提取服务器证书openssl rsa -in cert.pem -out private.key   # 提取私钥

• 确保证书文件无多余字符（如空格、换行符），部分高防平台对格式敏感，多余字符会导致解析失败。

服务器时间异常：高防 IP 节点未同步 NTP 服务器，时间显示为 “证书未生效”（如当前 2025 年，节点时间为 2023 年）或 “证书已过期”（如当前 2025 年，节点时间为 2026 年）；

客户端时间异常：用户电脑 / 手机时间错误，浏览器判定证书有效期不匹配。

同步高防 IP 节点与源站服务器时间：

• Linux 系统（高防节点 / 源站）：

# 安装NTP服务（若未安装）sudo apt install ntp -y  # Debian/Ubuntu# 同步至全球NTP服务器sudo ntpdate pool.ntp.org# 设置开机自同步sudo systemctl enable ntp

• Windows 系统（高防节点 / 源站）：

1. 打开 “控制面板”→“日期和时间”→“Internet 时间”→“更改设置”；

2. 勾选 “与 Internet 时间服务器同步”，选择 time.windows.com 或 pool.ntp.org，点击 “立即更新”。

检查证书有效期：

• 通过 OpenSSL 命令查看证书有效期：

openssl x509 -in server.crt -noout -dates# 输出格式：notBefore=May  1 00:00:00 2025 GMT（生效时间）#           notAfter=May  1 23:59:59 2026 GMT（过期时间）

• 确保证书有效期覆盖当前时间，建议在证书过期前 30 天申请续期，并同步更新至高防 IP 节点。

TLS 版本不兼容：高防 IP 默认仅支持 TLS 1.2/1.3，而源站仍启用 TLS 1.0/1.1（已被浏览器列为不安全协议）；

加密套件不兼容：高防 IP 禁用弱加密算法（如 RC4、3DES），而源站配置的加密套件以弱算法为主，无法完成握手。

统一 TLS 版本配置：

• 推荐配置：高防 IP 控制台与源站服务器均启用 TLS 1.2 + TLS 1.3（禁用 TLS 1.0/1.1）；

• 源站配置示例（Nginx）：

server {listen 443 ssl;ssl_protocols TLSv1.2 TLSv1.3;  # 仅启用安全TLS版本...}

更新加密套件：

• 使用高安全性加密套件（参考 Mozilla 推荐配置），避免弱算法；

• 源站与高防 IP 统一配置示例（Nginx）：

ssl_ciphers "ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305";ssl_prefer_server_ciphers on;  # 优先使用服务器端加密套件

• 工具辅助：使用 Mozilla SSL 配置生成器，根据业务场景（现代 / 中间 / 旧版）生成最佳加密配置。

SSL 卸载策略冲突：

• 高防 IP 启用 SSL 卸载（解密流量），但源站仍以 HTTPS 协议接收流量，导致 “高防 HTTP→源站 HTTPS” 的协议不匹配，触发证书报错；

• 上传证书时遗漏私钥，或私钥与证书不匹配，高防节点无法完成解密。

中间件缓存旧证书：

• 高防 IP 与 CDN 串联部署时，CDN 节点缓存了旧证书（如证书已更新，但 CDN 未刷新），用户访问时仍加载旧证书；

• 浏览器 HSTS 策略残留：浏览器强制记忆旧证书的 “不安全” 状态，即使证书已更新，仍提示报错。

修复 SSL 卸载配置：

• 检查私钥与证书匹配性：通过 OpenSSL 验证两者一致性，确保 MD5 值相同：

# 计算证书的MD5值openssl x509 -noout -modulus -in server.crt | openssl md5# 计算私钥的MD5值openssl rsa -noout -modulus -in private.key | openssl md5

• 统一协议策略：

• 若高防 IP 启用 SSL 卸载：源站配置为 HTTP（80 端口），高防节点以 HTTP 方式回源，避免双重加密；

• 若需 “SSL 透传”（高防节点不解密，直接转发 HTTPS 流量）：在高防控制台关闭 SSL 卸载，确保证书仅在源站配置，高防节点仅做流量清洗。

清除中间件与浏览器缓存：

• CDN 缓存刷新：在 CDN 控制台提交 “证书刷新” 请求，或刷新对应域名的所有缓存资源；

• 浏览器缓存清除：

• 引导用户清除浏览器 SSL 缓存（Chrome：设置→隐私和安全→清除浏览数据→勾选 “站点数据”）；

• 使用浏览器隐私模式访问，排除缓存干扰；

• 若 HSTS 残留：在 Chrome 地址栏输入 chrome://net-internals/#hsts，删除对应域名的 HSTS 记录。

部署前全面检查 SSL 状态：

• 使用 SSL Labs SSL Test 扫描源站证书，确认 “域名覆盖、证书链完整性、TLS 版本兼容性” 无问题后，再配置高防 IP；

• 在高防 IP 控制台使用 “证书测试工具”（部分厂商提供），模拟流量访问，提前发现配置冲突。

建立证书生命周期管理：

• 记录证书到期时间，设置到期前 30 天提醒（如通过企业微信 / 钉钉机器人推送提醒），避免证书过期导致业务中断；

• 若使用泛域名证书，确保高防 IP 生成的所有子域名均在证书覆盖范围内，新增子域名时同步更新证书。

标准化配置流程：

• 制定《高防 IP HTTPS 配置手册》，明确 “CNAME 解析规则、证书上传步骤、TLS 版本配置、SSL 卸载策略”，避免运维人员操作疏漏；

• 多中间件（高防 IP+CDN+WAF）串联时，统一证书配置，确保所有节点使用相同的证书、TLS 版本与加密套件。

第一步：检查域名匹配性：确认高防 CNAME 域名是否在证书的 “允许域名列表” 中，是否存在单域名 / 泛域名覆盖问题；

第二步：验证证书链与格式：使用 SSL 在线工具检查证书链完整性，确认证书格式为高防平台支持的 PEM 格式；

第三步：同步系统时间：检查高防节点与源站服务器的时间是否同步，确保证书在有效期内；

第四步：排查协议与缓存：统一高防 IP 与源站的 TLS 版本、加密套件，清除 CDN 与浏览器缓存。