Pull origine autenticata a livello di zona con CIS certificati

Questa opzione consente l'accesso sicuro ai contenuti dal server di origine autenticando le richieste con i certificati forniti da CIS a livello di zona.

CIS utilizza la seguente CA per firmare i certificati per il servizio di tiratura di origine autenticata:

• Certificato di estrazione di origine autenticata

Scaricare il certificato e memorizzare il file sul server web di origine, ad esempio in /path/to/origin-pull-ca.pem.

Per abilitare l'origine autenticata, esegui il pull globalmente su una zona:

1. Installare il certificato sul server web di origine per autenticare tutte le connessioni.
2. Configurare CIS con la flessibilità End-to-End.
3. Configurare il server Web di origine per accettare i certificati dei client.
4. Abilitare il pull dell'origine autenticata utilizzando la CLI CIS.

Estrazione dell'origine autenticata a livello di zona con certificati personalizzati

Questa opzione consente l'accesso sicuro ai contenuti dal server di origine utilizzando i certificati caricati dal cliente per l'autenticazione a livello di zona.

1. Se si utilizza una chiave ECC generata da OpenSSL,, rimuovere prima -----BEGIN EC PARAMETERS-----...-----END EC PARAMETERS----- dal file del certificato.

2. Assicurarsi che il certificato e la chiave siano nel formato seguente prima di caricarli su CIS:

   $ cat app_example_com.pem
   -----BEGIN CERTIFICATE-----
   MIIFJDCCBAygAwIBAgIQD0ifmj/Yi5Nz2gdUySbfzANBgkqhkiG9w0BAQsFADBN
   MQswCQYDVQQGEwJVUzEVMBMGA1UEChMMRGlnaUNlcnQgSW5jMScwJQYDVQQDEx5E
   ...
   SzSHfXp5lnu/3V08I72q1QNzOCgY1XeL4GKVcj4or6cT6tX6oJH7ePPmfrBfqI/O
   OeH8gMJ+FuwtXYEPa4hBf38M5eU5xWG7
   -----END CERTIFICATE-----
   

3. Sostituire le enditure di linea con la stringa \n:

   MYCERT="$(cat app_example_com.pem|perl -pe 's/\r?\n/\\n/'|sed -e 's/..$//')" $ MYKEY="$(cat app_example_com.key|perl -pe 's/\r?\n/\\n/'| sed -e's/..$//')"
   
   echo $MYCERT -----BEGIN CERTIFICATE-----\nMIIFJDCCBAygAwIBAgIQD0ifmj/Yi5NP/ 2gdUySbfzANBgkqhkiG9w0BAQsFADBN\nMQswCQYDVQQGEwJVUzEVMBMGA1UEChMMRGlnaUNlcnQgSW5jMScwJQYDVQQDEx5E...SzSHfXp5lnu/ 3V08I72q1QNzOCgY1XeL4GKVcj4or6cT6tX6oJH7ePPmfrBfqI/O\nOeH8gMJ+FuwtXYEPa4hBf38M5eU5xWG7\n-----END CERTIFICATE-----\n
   

4. Costruire il payload:

   $ request_body=$(< <(cat <<EOF { "certificate": "$MYCERT", "private_key": "$MYKEY" } } EOF ))

5. Carica il certificato client e la chiave privata dalla CLI CIS.

6. Abilita il pull dell'origine autenticata dalla CLI CIS.

Estrazione dell'origine autenticata per nome di host utilizzando i certificati del cliente

Questa opzione consente di proteggere l'accesso ai contenuti dal server di origine autenticando le richieste con certificati del cliente su base individuale.

Quando si abilita il pull di origine autenticato per hostname, tutto il traffico proxy verso l'hostname specificato viene autenticato sul server web di origine. È possibile utilizzare i certificati client dalla propria infrastruttura di chiave pubblica per autenticare le connessioni da CIS.

Per caricare un certificato client in CIS:

1. Se si utilizza una chiave ECC generata da OpenSSL,, rimuovere prima -----BEGIN EC PARAMETERS-----...-----END EC PARAMETERS----- dal file del certificato.

2. Assicurarsi che il certificato sia nel seguente formato prima di caricarlo su CIS.

   $ cat app_example_com.pem
   -----BEGIN CERTIFICATE-----
   MIIFJDCCBAygAwIBAgIQD0ifmj/Yi5NP/2gdUySbfzANBgkqhkiG9w0BAQsFADBN
   MQswCQYDVQQGEwJVUzEVMBMGA1UEChMMRGlnaUNlcnQgSW5jMScwJQYDVQQDEx5E
   ...
   SzSHfXp5lnu/3V08I72q1QNzOCgY1XeL4GKVcj4or6cT6tX6oJH7ePPmfrBfqI/O
   OeH8gMJ+FuwtXYEPa4hBf38M5eU5xWG7
   -----END CERTIFICATE-----
   

3. Sostituire le enditure di linea con la stringa \n:

   MYCERT="$(cat app_example_com.pem|perl -pe 's/\r?\n/\\n/'|sed -e 's/..$//')" $ MYKEY="$(cat app_example_com.key|perl -pe 's/\r?\n/\\n/'|sed -e's/..$//')"
   
   echo $MYCERT -----BEGIN CERTIFICATE-----\nMIIFJDCCBAygAwIBAgIQD0ifmj/Yi5NP/2gdUySbfzANBgkqhkiG9w0BAQsFADBN\nMQswCQYDVQQGEwJVUzEVMBMGA1UEChMMRGlnaUNlcnQgSW5jMScwJQYDVQQDEx5E...SzSHfXp5lnu/3V08I72q1QNzOCgY1XeL4GKVcj4or6cT6tX6oJH7ePPmfrBfqI/O\nOeH8gMJ+FuwtXYEPa4hBf38M5eU5xWG7\n-----END CERTIFICATE-----\n
   

4. Costruire il payload:

   $ request_body=$(< <(cat <<EOF { "certificate": "$MYCERT", "private_key": "$MYKEY" } } EOF ))

5. Carica il certificato client e la chiave privata dalla CLI CIS.

6. Abilita il pull dell'origine autenticata sul nome host specificato tramite la CLI CIS. Collegare il certificato del client al nome host specifico.

Sostituzione di un certificato client senza downtime

Per hostname:

1. Caricare il nuovo certificato.
2. Collegare l'ID e l'hostname del nuovo certificato e i valori abilitati.

Per globale:

1. Caricare il nuovo certificato.
2. Verificare che il nuovo certificato sia in stato Attivo.
3. Dopo che il certificato è attivo, eliminare il vecchio certificato.

Applicare contemporaneamente un diverso certificato client (a zona e livello hostname)

1. Caricare un certificato seguendo i passaggi della sezione Estrazione dell'origine autenticata a livello di zona.
2. Caricare più certificati seguendo i passaggi della sezione Estrazione dell'origine autenticata per nome di host utilizzando i certificati dei clienti.

Installazione su Apache e NGINX

Utilizza le seguenti istruzioni per configurare i Push di origine autenticati TLS per i server web di origine NGINX o Apache.