Java + Cloudflare +相互认证

Question

我正在尝试进行相互身份验证...我当前的问题是无法使用域工作...好像云弹未转发我的证书。

基本上，如果我直接使用IP可以正常工作：

$ curl -k -E clientkey.pem https://18.228.142.39:8443/logged_info 

（这很好）

$ curl -E clientkey.pem https://xxx.mysite.com:8443/logged_info 

（我得到525：SSL握手失败）

我已启用ssl调试器，并且证书永远无法到达服务。

我调用域时的一些SSL日志：

upcoming handshake states: server finished[20]
*** Certificate chain
https-jsse-nio-8443-exec-2, fatal error: 42: null cert chain
javax.net.ssl.SSLHandshakeException: null cert chain
%% Invalidated: [Session-1, TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256]
https-jsse-nio-8443-exec-2, SEND TLSv1.2 ALERT: fatal, description = bad_certificate
https-jsse-nio-8443-exec-2, WRITE: TLSv1.2 Alert, length = 2
https-jsse-nio-8443-exec-2, fatal: engine already closed. Rethrowing javax.net.ssl.SSLHandshakeException: null cert chain
https-jsse-nio-8443-exec-2, called closeOutbound()
https-jsse-nio-8443-exec-2, closeOutboundInternal()

可能缺少一些要启用的功能吗？

Answer 1

我认为cloudflare正在终止TLS连接，然后启动到您的源的新连接，因此它（据我所知）不能仅通过代理代理证书，因为它从来没有看到客户端上的私钥。 它的出现基于此而这 ，你可以提供你的根CA，如果你是一个企业客户的CloudFlare，他们将验证客户端识别您，针对CA. 第一篇文章还建议您打开“ Authenticated Origin Pulls”，这将确保只有cloudflare可以直接与您的原始服务器对话。

第二个链接还说：

对于使用客户端证书进行标识的公司，Cloudflare还可以将客户端证书的任何字段作为自定义标头转发。

这表示您可以将字段从密钥转发到您的来源，以便您的来源可以知道请求的来源。