實戰對外服務網站 CDN 導入 (以中華電信 Hinet CDN 為範例)

2023-02-18

紀錄為客戶對外服務網站導入 CDN 的心路歷程。

說明

取得伺服器憑證、中繼憑證以及私密金鑰

從原本的 cert.pfx 分離出伺服器憑證、中繼憑證以及私密金鑰，需要使用 openssl 進行作業。

如何取得 openssl？如果有安裝 git for windows 可以在下列路徑取得 C:\Program Files\Git\usr\bin

在分離過程如果有明文密碼，例如密碼為 seCretPa55W0rd 要輸入為參數才能夠進行分離。

openssl.exe pkcs12 -in .\cert.pfx -out server.cer -nodes -password "pass:seCretPa55W0rd"

注意：密碼必須包含 pass:，否則建議不要輸入密碼，讓系統介面跳出輸入密碼的提示後再輸入。

分離的結果會儲存在 server.cer 檔案之中，包含包含私密金鑰、伺服器憑證以及相關的中繼憑證 (可能為多個)。

進階參考保哥所分享的如何在收到 PFX 或 CER 憑證檔之後使用 OpenSSL 進行常見的格式轉換

如何取得 public key

上述步驟解出來包含 private key & 憑證，如果需要 public key 可以搭配上個步驟取得的 server.cer 並透過以下指令來取得 public key：

openssl x509 -in .\server.cer -pubkey -noout > .\publickey.pem

如何將 cer 由 binary 轉為 text (pem)

openssl x509 -inform der -in .\server.cer -outform pem -out .\server.pem

如何檢視 Certificate Text (-----BEGIN CERTIFICATE-----)

使用 SSL Shopper 的 Certificate Decoder 來進行解譯與檢視。

如何確認網站的憑證鏈以及憑證 Certificate Text

不要透過瀏覽器，使用 openssl 來確認才能達到正確的答案 (一個小時的血淚心得)。

openssl.exe s_client -showcerts -connect gcp.nat.gov.tw:443

政府客戶常見的憑證練

依序由中繼憑證到根憑證。

Common Name: 政府伺服器數位憑證管理中心 - G1
Subject Alternative Names:
Organization: 行政院
Organization Unit:
Locality:
State:
Country: TW
Valid From: July 18, 2019
Valid To: August 18, 2031
Issuer: ePKI Root Certification Authority - G2, Chunghwa Telecom Co., Ltd.
Key Size: 4096 bit
Serial Number: 996d5fe9ade16cdc8ecdbfedb14a3295

Common Name: ePKI Root Certification Authority - G2
Subject Alternative Names:
Organization: Chunghwa Telecom Co., Ltd.
Organization Unit:
Locality:
State:
Country: TW
Valid From: November 17, 2015
Valid To: December 19, 2034
Issuer: Chunghwa Telecom Co., Ltd.
Key Size: 4096 bit
Serial Number: afcd8d642c62d645067dc857fda8f15d

Common Name:
Subject Alternative Names:
Organization: Chunghwa Telecom Co., Ltd.
Organization Unit: ePKI Root Certification Authority
Locality:
State:
Country: TW
Valid From: December 19, 2004
Valid To: December 19, 2034
Issuer: Chunghwa Telecom Co., Ltd.
Key Size: 4096 bit
Serial Number: 15c8bd65475cafb897005ee406d2bc9d

外部 DNS 設定

為了保持原本提供服務的域名持續使用，必須要另設一個新的域名提供 CDN 專門指向，而原本的域名則以 CNAME 的方式指向 CDN 伺服器。

調整前：

域名	DNS 類型	指向
www.sdwh.dev	A	Server IP

調整後：

域名	DNS 類型	指向
www.sdwh.dev	CNAME	www-sdwh.cdn.hinet.net
wwwori.sdwh.dev	A	Server IP

CDN 伺服器與原伺服器關係

第一張圖片的架構為不使用 CDN 時，外部 DNS 提供 A Record 的方式，讓外部可以直接連到網站所在的伺服器。

第二張圖片的架構為使用 CDN 時，藉由在外部 DNS 新增 CNAME 的方式，將原本的網址指向 CDN 伺服器。

並且在 CND Portal 上進行設定，對應到既有的 A Record，讓 CDN Server 可以連結到實際的網站所在伺服器，並將快取結果對外服務。

可以進一步限制實體網站所在伺服器僅限 CDN Server 連線。

第三張圖片的架構為使用 CDN 時，若網站所在的伺服器有多個站台 (multi-tenant) 則需要在外部 DNS 設定額外的原站域名，讓 CDN Server 可以區別對應到不同的站台。

設定 CDN 後台

測試 CDN

public class Program
{
    static void Main(string[] args)
    {
        string url = "https://wwwori.sdwh.dev/blogPost?article=1024";
        CdnPurge.Purge(url);

    }
}

public class CdnPurge
{
    private const string BaseUrl = "https://api.cdn.hinet.net/cdnPortalAPI/addPreloadPurge";
    private const string Token = "";
    private const int ServiceId = 1;
    private const string ServiceName = "www";
    private const string Action = "purge";
    private const int UseDeviceType = 0;

    public static void Purge(string url)
    {
        var data = new { data = new[] { new { url } } };
        string urlPayload = JsonConvert.SerializeObject(data);

        var req = WebRequest.CreateHttp(BaseUrl);
        req.Method = HttpMethod.Post.Method;
        req.ContentType = "application/x-www-form-urlencoded";

        string postData = 
          $"token={Token}&serviceID={ServiceId}&serviceName={ServiceName}&action={Action}&useDeviceType={UseDeviceType}&url={HttpUtility.UrlEncode(urlPayload)}";

        byte[] byteArray = Encoding.UTF8.GetBytes(postData);
        req.ContentLength = byteArray.Length;

        using (Stream dataStream = req.GetRequestStream())
        {
            dataStream.Write(byteArray, 0, byteArray.Length);
        }

        using (WebResponse response = req.GetResponse())
        {
            using (Stream responseStream = response.GetResponseStream())
            {
                using (StreamReader reader = new StreamReader(responseStream))
                {
                    string responseText = reader.ReadToEnd();
                    Console.WriteLine(responseText);
                }
            }
        }
    }
}

特別設定

防火牆需要放行中華電信的 CDN 節點。

原站的標頭可以使用實際的網域名稱。

搭配 WAF 需要注意封鎖行為要針對實際連線的 IP 而非 CDN 節點的 IP。

快取的時間越長，原站的負擔越小，但資料的即時性越低，解決的方式可以透過 CDN API 主動清除，或者是降低快取的時間，搭配 Use Cache Stale 的方式來確保網頁的即時性。