成人国产在线小视频_日韩寡妇人妻调教在线播放_色成人www永久在线观看_2018国产精品久久_亚洲欧美高清在线30p_亚洲少妇综合一区_黄色在线播放国产_亚洲另类技巧小说校园_国产主播xx日韩_a级毛片在线免费

資訊專欄INFORMATION COLUMN

給你的站點(diǎn)添加 DNS CAA 保護(hù)

rozbo / 1221人閱讀

摘要：什么是譬如說，你的站點(diǎn)已經(jīng)啟用了，甚至已經(jīng)被固化到了瀏覽器內(nèi)部。證書頒發(fā)機(jī)構(gòu)授權(quán)，簡稱是一項(xiàng)借助互聯(lián)網(wǎng)的域名系統(tǒng)，使域持有人可以指定允許為其域簽發(fā)證書的數(shù)字證書認(rèn)證機(jī)構(gòu)的技術(shù)。首先添加解析記錄，指向你服務(wù)器的外網(wǎng)然后添加記錄。

什么是 DNS CAA

譬如說，你的站點(diǎn)已經(jīng)啟用了 HSTS，甚至已經(jīng)被固化到了瀏覽器內(nèi)部。但是一個(gè)中間人仍然劫持了你的連接。你走了 HTTPS 協(xié)議？沒問題，我也搞到了一個(gè)你所訪問域名的 SSL 證書。要知道 SSL 連接使用的證書是服務(wù)端決定的，但是這個(gè)證書未必就是真正的域名所有人申請的。雖然普通人未必能搞到不屬于你的域名的證書，但是證書頒發(fā)機(jī)構(gòu)就不一樣——雖然基于信譽(yù)的原因他們不太可能會(huì)這樣做，但是沒有任何外在的保護(hù)防止他們頒發(fā)并非由域名所有人申請的證書。

簡而言之，一個(gè)有效的證書未必就是域名所有人申請的證書。就好比普通人造不出能過驗(yàn)鈔機(jī)的假鈔，但是再強(qiáng)大的驗(yàn)鈔機(jī)也不能阻止造幣廠監(jiān)守自盜。這時(shí)就需要一個(gè)更上層的服務(wù)去驗(yàn)證這個(gè)“有效的證書”的合法性，這就是 DNS CAA 的作用。

DNS Certification Authority Authorization（DNS證書頒發(fā)機(jī)構(gòu)授權(quán)，簡稱 CAA）是一項(xiàng)借助互聯(lián)網(wǎng)的域名系統(tǒng)（DNS），使域持有人可以指定允許為其域簽發(fā)證書的數(shù)字證書認(rèn)證機(jī)構(gòu)（CA）的技術(shù)。它會(huì)在 DNS 下發(fā) IP 的同時(shí)，同時(shí)下發(fā)一條資源記錄，標(biāo)記該域名下使用的證書必須由某證書頒發(fā)機(jī)構(gòu)頒發(fā)。比如我大 EOI 的官網(wǎng)使用了 Let"s Encrypt 頒發(fā)的免費(fèi)證書，我可以同時(shí)使用 CAA 技術(shù)標(biāo)記 EOI 官網(wǎng)域名 www.eoitek.com 使用的 SSL 證書由 Let"s Encrypt 頒發(fā)，這樣就可以（在一定程度上）解決上面所述的問題。

啟用 DNS CAA

CAA 是 DNS 服務(wù)器下發(fā)的記錄，所以首先要 DNS 服務(wù)器支持才行。EOI官網(wǎng)域名購買自阿里云旗下的萬網(wǎng)，然而萬網(wǎng)自帶的 DNS 服務(wù)并不支持 CAA 資源記錄。如果想體驗(yàn) CAA，還得使用國外的 DNS 服務(wù)器。支持 CAA 記錄的國外 DNS 服務(wù)這里有比較詳細(xì)的記錄：https://sslmate.com/caa/support

筆者使用的是 Hurricane Electric Free DNS 這款號稱永久免費(fèi)的 DNS 服務(wù)。注冊賬號并郵箱驗(yàn)證后，添加一個(gè)新的域名，注意要填寫一級域名。

首先添加 DNS 解析（A）記錄，指向你服務(wù)器的外網(wǎng) IP

然后添加 CAA 記錄。

Name 可以直接填寫頂級域名，會(huì)自動(dòng)應(yīng)用到多級域名。

CAA data 填寫 0 issue "證書頒發(fā)機(jī)構(gòu)域名"。
如果如果你用 Let"s Encrypt 頒發(fā)的免費(fèi)證書，CAA data 部分直接填寫 0 issue "letsencrypt.org" 即可。

你還可以添加一條為 0 iodef "mailto:你的郵箱" 的 CAA 記錄，表示如果發(fā)現(xiàn)違背 CAA 記錄的情況給這個(gè)郵箱發(fā)郵件通知。

如果你仍然不太清楚如何填寫 CAA 記錄，可以用工具直接生成：https://sslmate.com/caa/。填寫域名后點(diǎn) Auto-Generate Policy，這個(gè)工具會(huì)自動(dòng)查詢你的網(wǎng)站使用了什么證書，從而生成對應(yīng)的 CAA 記錄數(shù)據(jù)。

填寫完成后結(jié)果類似如下圖（圖中還添加了幾條指向 EOI 公司內(nèi)網(wǎng)的域名）：

最后只需要把你域名的 DNS 服務(wù)器指向到 nsX.he.net 就好了

更改 DNS 服務(wù)器指向可能需要約兩天時(shí)間生效。是否生效可以在 Hurricane Electric Free DNS 中你的域名的記錄列表頁查看。

檢驗(yàn) DNS CAA 是否生效

使用 SSL Server Test 可以很方便的檢驗(yàn)?zāi)愕挠蛎欠駟⒂昧?DNS CAA

下面還有對應(yīng)證書是否匹配當(dāng)前 DNS CAA 記錄的提示

完

文章版權(quán)歸作者所有，未經(jīng)允許請勿轉(zhuǎn)載,若此文章存在違規(guī)行為，您可以聯(lián)系管理員刪除。

轉(zhuǎn)載請注明本文地址：http://systransis.cn/yun/40553.html

相關(guān)文章

  • 給你的站點(diǎn)添加 DNS CAA 保護(hù)

    摘要：什么是譬如說，你的站點(diǎn)已經(jīng)啟用了，甚至已經(jīng)被固化到了瀏覽器內(nèi)部。證書頒發(fā)機(jī)構(gòu)授權(quán)，簡稱是一項(xiàng)借助互聯(lián)網(wǎng)的域名系統(tǒng)，使域持有人可以指定允許為其域簽發(fā)證書的數(shù)字證書認(rèn)證機(jī)構(gòu)的技術(shù)。首先添加解析記錄，指向你服務(wù)器的外網(wǎng)然后添加記錄。 什么是 DNS CAA 譬如說，你的站點(diǎn)已經(jīng)啟用了 HSTS，甚至已經(jīng)被固化到了瀏覽器內(nèi)部。但是一個(gè)中間人仍然劫持了你的連接。你走了 HTTPS 協(xié)議？沒問題，...

    wushuiyong 評論0 收藏0

  • 如何打造一個(gè)安全滿分網(wǎng)站

    摘要：繼上一篇如何打造一個(gè)全滿分網(wǎng)站之后，這一次我們來談?wù)勅绾未蛟煲粋€(gè)在安全方面也能打滿分的網(wǎng)站。無論如何，我們把一個(gè)安全得分只有的網(wǎng)站，通過各種方法優(yōu)化到了得分為，是不是小有成就感呢你也來試一試吧 繼上一篇《如何打造一個(gè)全滿分網(wǎng)站》之后，這一次我們來談?wù)勅绾未蛟煲粋€(gè)在安全方面也能打滿分的網(wǎng)站。因?yàn)閷τ谝粋€(gè)網(wǎng)站來講，僅有功能是不夠的，還需要考慮性能，僅有性能也不夠，還需要考慮安全。 由于網(wǎng)站...

    張巨偉 評論0 收藏0

  • 免費(fèi)開啟Cloudflare Railgun加速-減少連接延遲 實(shí)現(xiàn)動(dòng)態(tài)頁面緩存和加速

    Cloudflare Railgun是 Cloudflare 專門為 Business 和 Enterprise 企業(yè)級客戶提供的終極加速方案。要使用它，先需要升級網(wǎng)站套餐為 Business 或 Enterprise，然后還需要在服務(wù)器上安裝必要軟件并在 Cloudflare 上完成配置。Cloudflare的商業(yè)套餐適合土豪使用。不過，我們還有一個(gè)方法就是申請Cloudflare Partne...

    番茄西紅柿 評論0 收藏2637

  • 簡述CDN 什么是CDN 為什么要用CDN CDN適用場景

    摘要：用戶向緩存服務(wù)器發(fā)起請求，緩存服務(wù)器響應(yīng)用戶請求，將用戶所需內(nèi)容傳送到用戶終端。當(dāng)處理器引用存儲(chǔ)器中的某地址時(shí)，高速緩沖存儲(chǔ)器便檢查是否存有該地址。 考慮到對CDN認(rèn)知程度的各層小伙伴，開頭有必要簡單介紹下CDN原理（高年級同學(xué)可以直接跳過）： 一、CDN的基本原理和基礎(chǔ)架構(gòu) CDN是將源站內(nèi)容分發(fā)至最接近用戶的節(jié)點(diǎn)，使用戶可就近取得所需內(nèi)容，提高用戶訪問的響應(yīng)速度和成功率。解決因分布...

    番茄西紅柿 評論0 收藏0

  • 簡述CDN 什么是CDN 為什么要用CDN CDN適用場景

    摘要：用戶向緩存服務(wù)器發(fā)起請求，緩存服務(wù)器響應(yīng)用戶請求，將用戶所需內(nèi)容傳送到用戶終端。當(dāng)處理器引用存儲(chǔ)器中的某地址時(shí)，高速緩沖存儲(chǔ)器便檢查是否存有該地址。 考慮到對CDN認(rèn)知程度的各層小伙伴，開頭有必要簡單介紹下CDN原理（高年級同學(xué)可以直接跳過）： 一、CDN的基本原理和基礎(chǔ)架構(gòu) CDN是將源站內(nèi)容分發(fā)至最接近用戶的節(jié)點(diǎn)，使用戶可就近取得所需內(nèi)容，提高用戶訪問的響應(yīng)速度和成功率。解決因分布...

    didikee 評論0 收藏0

發(fā)表評論

0條評論

最新活動(dòng)
閱讀需要支付1元查看
<