用 CDN 中转 https 流量数据会不会被 CDN 看到

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

这是一个创建于 1417 天前的主题，其中的信息可能已经有所发展或是发生改变。

用 Cloudfare 作为 CDN 中转 HTTPS 后浏览器看到的不是服务器的证书而是 Cloudfare 自己的证书那是不是在流量被中转的时候 CDN 已经充当了电脑客户端把之前的 https 流量全部解密了然后再把内容用自己的证书重新加密一遍

CDN

中转

cloudfare

证书

25 条回复 • 2020-12-23 17:12:26 +08:00

Ranying

2020-12-22 14:19:52 +08:00

是的

LnTrx

2020-12-22 14:20:43 +08:00

如果 CDN 不解密，它根本不知道你访问的是什么路径，那就没法做 CDN 了

AoEiuV020

2020-12-22 14:26:00 +08:00

这不就是 ssl 的目的么，如果被中间人重新加密了，客户端这边因为没有信任中间人的证书，就会报错，大红色的不安全，非要继续的话确实就被中间人看到了，

nightwitch

2020-12-22 14:26:51 +08:00

是的，而且 cf 如果你不选择全程加密的话，由 cdn 到你的主机这一段可以是 http 状态

Mitt

2020-12-22 15:21:43 +08:00 via iPhone

cdn 是作为一个可信任中间人的，如果你觉得 cdn 不可信那就没办法用，cdn 是需要缓存数据的，它跟负载均衡不一样

dorothyREN

2020-12-22 15:28:24 +08:00

@Mitt #5 换句人话就就是说你不信任 CDN，你为啥还要用 CDN

stevenhawking

2020-12-22 15:34:03 +08:00

你托管 SSL 证书到 CDN，CDN 就能看得到

opengps

2020-12-22 15:37:51 +08:00

cdn 持有你 ssl 的私钥，从原理上来讲，想看内容完全可以，所以这时候如果你信不过 CDN，那就不能用了

linuxmap

2020-12-22 19:12:12 +08:00

哈哈，不给 cdn 证书，你还要给我完成 https 。难为一下 CDN

qwerthhusn

2020-12-22 19:15:41 +08:00

典型的中间人，只不过这个是可信的中间人

lslqtz

2020-12-22 20:59:45 +08:00

cdn 会，而动态加速可能会

holulu

2020-12-22 21:14:15 +08:00

@opengps 使用 Keyless SSL 可以不把私钥给 CDN，但数据 CDN 依然能看到

ljiaming19

2020-12-22 21:52:22 +08:00

@opengps 但是我不记得我有把私钥上传到 CDN

jinliming2

2020-12-22 22:53:01 +08:00

@ljiaming19 CDN 充当的是客户端的角色，不需要私钥就能解密。转发的时候使用的是 CDN 自己的证书重新加密。

YouLMAO

2020-12-22 23:11:26 +08:00 via Android

我比较关心 akamai 偷录了多少 p#hub 的视频

jinliming2

2020-12-22 23:11:42 +08:00

CDN 属于内容分发，主要用途是缓存。
也就是 CDN 先充当浏览器访问你的网站，把页面资源全部下载下来之后，用户再访问 CDN 提供的版本。
这通常适用于静态资源内容，而对于动态资源，就只能充当反向代理转发的作用了。

如果你不想让中间 CDN 解密你的数据，或者网站动态资源较多，静态资源很少的话，可以考虑走 BGP 多线，一个 IP 访问，通过 BGP 自动到距离最近的机器。通常适合于非 HTTP 协议的内容。把 HTTPS 当作基于 TCP 的一般协议来处理，就不存在中间人解密再重新加密的情况了。

YouLMAO

2020-12-22 23:15:18 +08:00 via Android

自己机房再多，也比不上迅雷 cdn 在各个居民区，4g 上网卡