让我们加密 vs cloudflare 还是两者兼而有之？ [关闭]

Question

关闭。 此问题不符合Stack Overflow 准则。 它目前不接受答案。

---

想改善这个问题吗？ 更新问题，使其成为 Stack Overflow的主题。

3 个月前关闭。

改进这个问题

我一直在 cloudflare 的 ssl 和使用让我们加密让我的网站成为完整的 https 之间感到困惑。

许多消息来源说使用其中之一或同时使用两者。 然而，没有一种非常决定性的方法来确定是同时使用两者还是只使用一种。

在大多数情况下，人们喜欢 cloudflare，因为它是一个免费的 CDN。 它提供了一种设置 SSL 的简单方法

然而，看起来 Let's Encrypt 是下一件大事，不了解更多信息是愚蠢的。

有人说Cloudflare就够了.. http://community.rtcamp.com/t/letsencrypt-with-cloudflare/5659

有些人竭尽全力设置https://medium.com/@benjamincaldwell/better-ssl-tls-certificates-from-lets-encrypt-with-nginx-and-cloudflare-9f01f89940cd#.tlhx6g5in

https://community.letsencrypt.org/t/how-to-get-a-lets-encrypt-certificate-while-using-cloudflare/6338?u=pfg

http://pushincome.com/cloudflare-lets-encrypt-free-ssl-setup-ubuntu-apache/

https://flurdy.com/docs/letsencrypt/nginx.html

我想知道什么是设置让我们正确加密以与 cloudflare 一起用作我的内容的 CDN 的最佳方法。

谢谢。

Answer 1

当您使用 Cloudflare 时，有两个部分需要加密：

1. 从用户的浏览器到 Cloudflare
2. 从 Cloudflare 到您的服务器

这意味着您需要两个证书才能完全加密。

Cloudflare 会自动为您提供第一个。 这是用户在检查 URL 挂锁时看到的内容。

有多种方法可以处理 Cloudflare > 服务器加密。 所有这些都是免费的。

1. 选择 Cloudflare 的“灵活”SSL/TLS 加密模式。 这不会加密从 Cloudflare 到您的服务器的请求，但浏览器会显示绿色挂锁并表示该站点是安全的。 有点讨厌，如果你问我。

2. 使用 Lets Encrypt 在您的服务器上安装证书https://certbot.eff.org/lets-encrypt/ubuntufocal-apache 。 您现在可以将 Cloudflare 的 SSL/TLS 加密模式设置为“完整（严格）”。 我决定不使用此解决方案，因为基本解决方案不适用于负载平衡器。

3. 在您的服务器上安装 Cloudflare 的源证书。 您可以将其到期时间设置为 15 年，这很好（至少要到 2035 年，那时您已经忘记了这一点并且您的网站中断了）。 以下是 Ubunto 说明： 使用来自 Cloudflare 的 .pem 和 .key 设置 Ubuntu Apache2 SSL

4. 您还可以创建和安装自己的原始证书，这显然很容易，但我还没有尝试过。

Answer 2

链条的强度取决于其最薄弱的环节。

如果您保护一个通道而不是另一个通道，则可以减少攻击面，但设置仍然容易受到攻击。 您的网站流量仍然以纯文本形式流动，无论是在浏览器和 Cloudflare 服务器之间还是在 Cloudflare 服务器和您的源服务器之间。

在有人有意或无意地窃取、劫持、冒充、嗅探、窃听或中间人之前，这只是时间、努力和运气的问题。

此外，您拥有进行完全安全设置的所有工具，而且它们都是免费的。

• Cloudflare 颁发或 LetsEncrypt 证书以保护与您的网站/API 的通信。
• Cloudflare 颁发或 LetsEncrypt 证书以保护与源服务器的通信。

这是 HTTP 与 HTTPS 的一个很好的概述，它列出了 HTTP 容易受到的一些攻击。

Answer 3

在两者中使用 HTTPS 都可以提高您的不可知分数，从而可以在没有此功能的 CDN 提供商之间轻松切换。 这是一个关于您自己决定的问题，如果有意义，仅使用 Cloudflare 通过 https 构建您的基础设施，以防万一它是个人项目，或者没有极端的安全合规性。 关于安全，两层都使用https是符合国际安全标准的，如果有安全需要，HTTPS服务器和HTTP服务器之间的通道没有受到保护，请避免只在一层使用。

Answer 4

Cloudflare 实际上有一个 Let's Encrypt CA。 我在 cloudflare 上托管了另一个域，使用 Cloudflare 的让我们加密通配符 SSL。 加上它自动更新。 为了保护您的源服务器，您可以只使用 Cloudflare 的 Origin SSL 或使用自签名 SSL，因为没有人可以看到它，它提供相同的安全性，并且有效期为 15 年以上。

Answer 5

您可以做的是转到 SSL/TLS < 边缘证书 < 一直向下滚动直到到达底部 < 单击禁用通用 SSL。

瞧，您可以使用 Cloudflare 的快速 CDN 和 DNS 管理，并且可以免费将 Let's Encrypt 与它集成。