Java + Cloudflare +相互認證

Question

我正在嘗試進行相互身份驗證...我當前的問題是無法使用域工作...好像雲彈未轉發我的證書。

基本上，如果我直接使用IP可以正常工作：

$ curl -k -E clientkey.pem https://18.228.142.39:8443/logged_info 

（這很好）

$ curl -E clientkey.pem https://xxx.mysite.com:8443/logged_info 

（我得到525：SSL握手失敗）

我已啟用ssl調試器，並且證書永遠無法到達服務。

我調用域時的一些SSL日志：

upcoming handshake states: server finished[20]
*** Certificate chain
https-jsse-nio-8443-exec-2, fatal error: 42: null cert chain
javax.net.ssl.SSLHandshakeException: null cert chain
%% Invalidated: [Session-1, TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256]
https-jsse-nio-8443-exec-2, SEND TLSv1.2 ALERT: fatal, description = bad_certificate
https-jsse-nio-8443-exec-2, WRITE: TLSv1.2 Alert, length = 2
https-jsse-nio-8443-exec-2, fatal: engine already closed. Rethrowing javax.net.ssl.SSLHandshakeException: null cert chain
https-jsse-nio-8443-exec-2, called closeOutbound()
https-jsse-nio-8443-exec-2, closeOutboundInternal()

可能缺少一些要啟用的功能嗎？

Answer 1

我認為cloudflare正在終止TLS連接，然后啟動到您的源的新連接，因此它（據我所知）不能僅通過代理代理證書，因為它從來沒有看到客戶端上的私鑰。 它的出現基於此而這 ，你可以提供你的根CA，如果你是一個企業客戶的CloudFlare，他們將驗證客戶端識別您，針對CA. 第一篇文章還建議您打開“ Authenticated Origin Pulls”，這將確保只有cloudflare可以直接與您的原始服務器對話。

第二個鏈接還說：

對於使用客戶端證書進行標識的公司，Cloudflare還可以將客戶端證書的任何字段作為自定義標頭轉發。

這表示您可以將字段從密鑰轉發到您的來源，以便您的來源可以知道請求的來源。