SSL/TLS常见问题

超文本传输安全协议HTTPS（Hypertext Transfer Protocol Secure），是一种在HTTP协议基础上进行传输加密的安全协议，能够有效保障数据传输的安全。HTTP协议以明文方式发送内容，不提供任何方式的数据加密。HTTPS协议是以安全为目标的HTTP通道，简单来说，HTTPS是HTTP的安全版，即将HTTP用SSL或TLS协议进行封装，HTTPS的安全基础是SSL或TLS协议。HTTPS提供了身份验证与加密通讯方法，被广泛用于万维网上安全敏感的通讯，例如交易支付。当您在ESA上配置HTTPS时，可以参考SSL/TLS快速上手将证书部署在全网ESA节点，实现全网数据加密传输。

不会。站点接入 ESA 后，ESA 使用自行管理的边缘证书，与 SSL 证书管理服务（CAS）中的证书相互独立。免费证书有效期为 3 个月，ESA 会在到期前 30 天自动续签，因此 CAS 控制台中的证书过期不会影响 ESA 站点的 HTTPS 访问。如果此前使用 CAS 免费证书，站点迁移到 ESA 后，ESA 已接管证书管理，网站实际使用 ESA 边缘证书。

ESA支持对免费证书进行自动续签且不会影响域名已部署的原证书：

• 自动续签时间：在免费证书到期前的30天，ESA会尝试对证书进行自动续签，无需重新申请也不会消耗证书个数。

• 续签失败的风险：由于免费证书由Let's Encrypt签发，可能存在一定的续签失败风险（如域名解析异常、验证失败等）。

ESA支持两种处理客户端证书的模式，具体取决于您的业务需求：

• ESA节点终止TLS（标准mTLS）：在此模式下，ESA节点作为TLS终止点，客户端证书在ESA节点完成验证。此方式保护的是客户端到ESA之间的链路安全。如需配置此模式，请参见配置客户端证书。

• 四层代理（TCP passthrough）：如果您需要实现端到端的mTLS认证（即客户端证书直接透传到源站进行验证），可以使用ESA的四层代理功能。在四层代理模式下，ESA不终止TLS连接、不替换证书，客户端的TLS握手直接透传到源站完成双向认证。该功能需要升级至企业版。如需了解四层代理的更多信息，请参见四层代理。

• 域名限制：一本证书只能填写一个域名，不支持泛域名。

• SAN配置：证书申请后带有申请域名及其www子域名两个SAN（Subject Alternative Name）。例如，申请example.com证书时，证书会同时包含example.com和www.example.com。

• www域名处理：输入www.开头的证书名时，ESA会自动忽略证书名开头的www.。

• DCV验证：验证TXT记录的域名为_dnsauth.{{证书名}}，DCV托管需要对该域名配置CNAME。

• 有效期：证书有效期为3个月，支持自动续期。

• 证书类型：DV（Domain Validation）域名验证型证书，采用SHA256-RSA加密算法。

是。ESA以站点为维度进行配置管理，站点下的配置无法在其他站点进行引用，因此每个站点需要单独配置证书。

若您已有泛域名证书，可以在不同子域名对应的站点配置中通过上传自定义证书来使用该证书。

会有轻微影响。由于 TLS 握手过程中需要额外与 KeyServer 通信一次，首次连接的握手时间会增加一个 RTT（往返时间）。但握手完成后，后续的数据传输完全使用对称加密，与普通证书没有性能差异。建议将 KeyServer 部署在网络延迟较低的区域以减少影响。

如果 KeyServer 不可用，新的 TLS 连接将无法建立，已有的连接不受影响（因为会话密钥已经协商完成）。建议对 KeyServer 进行高可用部署，例如通过负载均衡配置多台 KeyServer 实例。

KeyServer 支持 RSA 和 ECC 两种密钥类型。只需将对应的私钥文件放入 lurk_pkey_path 指定的目录即可。

可以。ESA 边缘节点与 KeyServer 之间的通信通道证书支持自签名证书，您在步骤一中生成的自签名证书即可满足要求。

同时支持RSA和ECC套件时，ESA优先使用ECC证书。