Cert on IT 运维小秋 /tags/cert.html Recent content in Cert on IT 运维小秋 Hugo -- gohugo.io zh-cn chenwx716@139.com chenwx716@139.com Tue, 03 Mar 2026 00:00:00 +0800 内网证书管理 /p/https-cert.html Tue, 03 Mar 2026 00:00:00 +0800 chenwx716@139.com /p/https-cert.html <h2 id="为什么必须要-https">为什么必须要 https</h2> <ol> <li>前端浏览器安全机制, 如果非https很多功能不让用, 如调用摄像头;</li> <li>前端浏览器跨域, 页面和接口都必须https;</li> <li>现在很多程序调用默认https协议, 如果使用http需要很多复杂配置;</li> </ol> <h2 id="内网开发经历的阶段">内网开发经历的阶段</h2> <p><strong>第一阶段: 全部 http</strong></p> <p>困难: 经常要处理https协议相关的配置和开关, 非常多；</p> <p><strong>第二阶段: 自签ca证书</strong></p> <p>困难:</p> <ol> <li>每个终端和服务器都需要手工导入证书：</li> <li>特别是容器化后, 每个容器镜像都需要处理这个证书问题, 第三方镜像可能还需要自己再封装一次;</li> <li>各语言加载证书的机制也不同, go, nodejs, java, python 等加载证书的方法各不相同, 有的根本没有使用系统证书;</li> </ol> <p>反复处理这个私有证书信任的问题</p> <p><strong>第三阶段: 公有证书</strong></p> <p>即外部购买一个1年期的泛域名证书, 内部所有服务都使用它</p> <p>困难:</p> <ol> <li>忘记续期</li> <li>续期后操作步骤繁多, 去多个地方替换</li> <li>小型测试环境每年花200买个证书也是小贵;</li> </ol> <p><strong>第四阶段: 免费证书+自动续签+自动更新</strong></p> <p>使用 letsencrypt 的免费证书, 通过 acme 机制自动续签;</p> <p>这个是最终办法了;</p> <p>优势:</p> <ol> <li>主流浏览器是支持 letsencrypt 证书的;</li> <li>linux下</li> <li>免费</li> <li>很多工具和web服务器都支持自动申请和续期</li> </ol> <p>缺点:</p> <ol> <li>经验证, windows cmd 终端环境没有信任 letsencrypt 的根证书;</li> </ol> <h2 id="免费证书">免费证书</h2> <p>letsencrypt 证书<br /> 每次可以申请一个3个月的证书</p> <p>http挑战验证也可以申请到泛域名证书</p> <p>证书管理方式</p> <ol> <li>通过 acme 脚本方式</li> <li>原生支持的网关程序: traefix, nginx(acme模块), caddy, higress 等现代网关都支持</li> <li>cert-manager 集群内证书自动管理</li> </ol> <h2 id="注意事项">注意事项</h2> <ol> <li>letsencrypt 生产环境有限流, 不能频繁申请; 相同域名一周限制5次, 调试阶段尽量使用letsencrypt的测试网地址进行验证。</li> <li>当同一个域名在多个地区使用时, 如云上和本地都在用时, 最好是统一到一处进行申请;</li> <li>多个申请源时, 最好不要申请泛域名证书, 容易冲突;</li> </ol> <p>泛域名证书的冲突场景<br /> 云上环境申请了一个 *.abc.com 的证书A, 本地内网的网关也申请了一个 *.abc.com 的证书B时；<br /> 当用户成功打开过一个域名后, 证书会有缓存；有时候浏览器会存在拿A证书去请求 B环境的域名；<br /> 即你打开的是B环境的 test.abc.com 的域名, 浏览器上看到使用的却是 A 环境的证书，此时证书校验就不通过;</p> <p>避免冲突的办法；</p> <ol> <li>不使用泛域名证书, 全部使用 指定二级域名证书;</li> <li>统一申请源, 只在一处申请泛域名证书, 续期后采用其它机制推送到别的网关进行更新;</li> </ol> <p>配合dns解析</p> <ul> <li>在外网时公网dns将域名解析到公网入口</li> <li>在内网时内网dns服务器将域名解析到内网入口</li> </ul>