名字、锁与前门：DNS、TLS 与入口防护

专栏《计算机网络基础》对应总览第六篇 网络安全本篇角色解析信任、HTTPS/证书现场、CDN/WAF/网关作为安全控制点读完你能用dig/openssl/curl区分解析问题与证书问题画出入口链上 TLS 终结与鉴权位置检查源站是否可被绕过导读三件事叠在一次「打开网页」里用户眼中的一次访问安全上至少过三关名字有没有指到对的地方 ← DNS 路上能不能防偷听、防假冒站点 ← TLS 进门时业务认不认你、挡不挡滥用 ← 入口网关/WAF/鉴权任意一关坏了表现都可能是「打不开」或「提示不安全」但扳手拧错地方会浪费整夜。本篇把三关拆开写透并强调一句在 06-01 埋过的话TLS 配好了不等于源站藏住了也不等于接口授权对了。一、概念1.1 DNS信任链的第一颗钉子DNS 回答「名字 → 地址或别名」。若解析被指到攻击者控制的主机后面的 TLS 校验反而可能「很成功」——因为对方可以配「看起来合法」的另一套站或在你尚未校验证书的客户端里直接收割。本篇需要的安全概念概念工程含义递归 / 权威你问谁、谁说了算缓存与 TTL改记录后为何「还不生效」也被污染缓存放大分裂视野公司网内外解析结果不同VPN 场景极常见解析路径可信系统 DNS、路由器下发、公共解析、DoT/DoHDNSSEC提供的是「权威应答可验证」的方向部署与生态参差中小站点未必全开但要知道它在解决「应答有没有被篡改」而不是「这个网站道德不道德」。DoT/DoH加密的是「你查了什么名字」这段查询通道改变的是隐私与企业审计可见性并不能自动消灭钓鱼域名。1.2 TLS锁在防谁HTTPS ≈ HTTP 跑在 TLS 之上。对浏览器用户锁图标背后通常是通信被加密机密性报文难被悄悄改完整性对方出示的证书能链到本机信任的根且名字匹配你要访问的主机身份。证书链直觉站点证书 → 中间证书 → … → 信任锚系统/浏览器根存现场高频字段SAN / CN证书上的名字包不包含你访问的 HostSNI客户端握手时声明要连哪个名字一台 IP 多证书靠它有效期notBefore / notAfter和系统时钟强相关用途与类型服务器认证客户端证书则走向 mTLS。mTLS双方都出示证书。服务网格、开放银行、部分机机 API 在用。它把「调用方是谁」从共享密钥推进到证书身份但吊销与轮换成本跟着上来。必须写在工单模板里的否定句TLS 不负责 - 收敛安全组 - 业务 RBAC - 防止源站 IP 被直连 - 防止合法账号作恶1.3 入口性能设备也是门卫客户端 → CDN/边缘 → 负载均衡 → API 网关/反代 → 应用实例 → 数据层每一跳都可能终结 TLS解密后再回源回源可再加密做鉴权、限流、Bot 与 WAF 规则改写头、藏源站、统一日志。绕过是这层的经典事故边缘规则很严源站1.2.3.4:443对全世界开放且无额外鉴权——扫描器不经 CDN直打原点。WAF 与限流解决的是「滥用与常见 Web 攻击面」的一部分它们不是业务逻辑正确性的证明也不是零误报神器。配置策略时要留观察期和旁路告警避免第一天就「全拦截」把自己业务打挂。1.4 HTTP 安全相关头点到为止应用/反代常设的头不替代 WAF但能挡一批浏览器侧问题头直觉Strict-Transport-Security强制以后走 HTTPS减少降级到明文Content-Security-Policy限制脚本与资源来源配置易误伤要灰度X-Content-Type-Options减少 MIME 嗅探带来的意外执行CookieSecure/HttpOnly/SameSite会话票在浏览器里怎么被带网络岗不一定改应用代码但应知道这些开关落在入口还是应用以及 CDN 是否剥头。1.5 证书类型与「谁签发」公网站点通常用公开 CA内网服务可用私有 CA。混用时的坑手机 App 只信任系统根内网自签会红反过来把私有根装进所有员工电脑后要防私有 CA 私钥沦陷——那是「造任意证书」的权限。公私网证书生命周期、监控、告警通道建议分开避免内网实验证书的告警淹没生产。二、场景2.1 浏览器锁变红 / App 校验证书失败按概率从高到低证书过期续期挂了、人工忘了、ACME 挑战失败域名不匹配访www证书只有 apex或测环境用了生产名链不完整服务器没把中间证配上部分手机客户端严、桌面浏览器松系统时钟错公司 SSL 检查中间盒、酒店强制门户——环境问题。2.2 开放 API常见组合拳事故HTTPS 有了Token 过宽或长期有效无速率限制源站可直连管理接口和数据接口共用入口且鉴权不一致。门卫要同时出现在DNS别把管理域名解析到随处可达的地址、TLS、网关鉴权、安全组。2.3 「改完 DNS 怎么还不生效」安全同事有时被拉进这类单用户以为被劫持其实是 TTL 与多层缓存。先证伪dig看权威与递归答案、TTL 倒计时再谈安全。顺序反了会冤枉 DNS。2.4 全员证书告警监控若只盯 CPU不盯Not After这类事故会按年重复。证书透明度CT与自动化签发降低了申请成本把续期纳入和磁盘水位同级的值班项才算落地。2.5 案例ACME 续期失败监控却「全绿」续期任务跑在一台临时跳板证书装在另一台 LB。跳板磁盘满了ACME 写挑战失败LB 上的旧证书还在有效期内 20 天所以业务绿、续期任务红——红在没人订阅的日志里。20 天后到期全员爆炸。补丁续期成功/失败进 P1 通道探测「证书剩余天数」直接打对外域名不依赖任务进程自报挑战类型HTTP-01 / DNS-01与防火墙策略写进 runbook——HTTP-01 要保证/.well-known能被公网 CA 摸到。2.6 案例CDN 回源明文机房链路被嗅探边缘 HTTPS 很漂亮回源走机房专线明文 HTTP「反正专线可信」。后来专线侧加了错误镜像端口或承包商接入了同网段。机密性在用户段成立在回源段破产。现状下更稳妥回源也 TLS实在不行至少回源网段严格隔离并审计。2.7 案例管理 API 与业务 API 共域名api.example.com/v1/orders与api.example.com/admin/reindex共用网关。WAF 对业务路径放宽后管理路径一起松。更好管理另子域、另证书或另监听、另鉴权、另安全组来源仅 VPN。三、现状公网站点以 HTTPS 为默认预期明文站点被浏览器降权。Let’s Encrypt 一类自动化普及后「不会申请证书」少了「续期失败无人知」多了。TLS 1.0/1.1 基本退出舞台1.2/1.3 为主旧客户端兼容仍是企业内网痛点。流量大量在边缘终结 TLS回源是否加密、用什么证书成为架构必答题。DoH 进入消费级系统企业要在「隐私」与「解析审计/过滤」之间做显式策略而不是假装没看见。API 网关成为许多团队的新边界比机房玻璃门更靠近业务真相。四、原理与现场手法4.1 解析排障最小集# 系统此刻看到什么 dig www.example.com noall answer # 问公共递归对比 dig www.example.com 1.1.1.1 noall answer # 需要时看追踪路径长但能分清卡在哪 dig www.example.com trace判断要点NXDOMAIN vs 超时 vs 错误地址CNAME 链是否最终落到你掌控的 A/AAAA公司网与蜂窝结果是否一致分裂视野 / 强制门户。4.2 证书排障最小集# 看握手与证书把 example 换成目标 echo | openssl s_client -connect www.example.com:443 -servername www.example.com 2/dev/null | openssl x509 -noout -subject -issuer -dates -ext subjectAltName # 应用层视角 curl -vI https://www.example.com/ 21 | head -n 40读报错时对照客户端语言优先查expired / not yet valid日期、时钟、续期任务name mismatchSAN 与访问 Host、SNIunable to get local issuer中间证是否一并下发仅某网络失败中间盒、门户、DNS内网自签把根放到系统信任库是权宜之计更干净的是企业内部 CA 自动分发并限制适用范围。读openssl s_client时再多看两眼Verify return code: 0 (ok) → 链与名字在本机信任库下通过 Verify return code: 10/... → 过期或其它对照具体文案 Certificate chain → 是否只有叶子、缺中间 Protocol / Cipher → 是否仍停在过旧套件合规扫描会盯把叶子证书导出核对指纹可与 CDN 控制台、密钥库里的指纹交叉避免「更新了 A 节点忘了 B 节点」。echo | openssl s_client -connect www.example.com:443 -servername www.example.com 2/dev/null \ | openssl x509 -noout -fingerprint -sha2564.3 入口链上的 TLS 终结模式 A客户端──TLS──应用 简单证书落每台或统一 LB 模式 B客户端──TLS──边缘──明文或再 TLS──源站 模式 C客户端──TLS──网关──mTLS──服务网格内问架构师三句用户侧证书挂在谁身上回源加密吗密钥谁管源站端口对谁开放第三句答不上来就按「可能被绕」处理去安全组核实。4.4 藏源站的几层DNS 只指向边缘源站安全组仅允许边缘回源 IP应用层仍校验Host、鉴权防止「指到了也没用」历史解析、邮件头、打包配置里的硬编码 IP 要扫一遍。CDN 回源 IP 段会变白名单要有更新机制写死三年前的段结果是业务间歇 502最后有人「临时」改成0.0.0.0/0——又回到 06-03 的坑。4.5 握手阶段直觉不背扩展列表ClientHello含 SNI、支持的版本与套件 → ServerHello 证书 ... → 密钥派生 → 应用数据此时才是 HTTP排障含义卡在握手证书、版本、套件、中间盒、SNI 缺失用 IP 直接访问却期望某域名证书时常见握手成功后 HTTP 错才是网关、鉴权、应用。curl -v里看到SSL connection using TLSv1.3再出现HTTP/2 401说明锁开了门卫没让进——别在证书上继续打转。4.6 WAF检测与拦截上线建议先检测/记日志两周看误报对明确规则改拦截留紧急旁路需审批拦截计数进看板暴增当事件。业务发版改了参数风格可能被当成攻击。WAF 规则要有主人和应用发布日历对齐。4.7 分裂 DNS 现场怎么拆dig api.corp.example 公司DNS dig api.corp.example 1.1.1.1公司网给内网地址、公网给边缘地址是常见设计。VPN 分流若 DNS 仍用家宽会解析到公网入口再绕一圈或干脆失败。用户语言是「VPN 连上了但打不开」根因可能在解析不在隧道加密。五、应用一条对外 API 的推荐形状用户 │ DNS → 仅边缘 CNAME ▼ CDN / WAFTLS 终结限流基础 Web 防护 │ 回源 TLS可选但推荐 ▼ LB API 网关鉴权、配额、路由 │ 仅私网 ▼ 服务实例 ──安全组── 仅网关/LB │ ▼ 数据库 ── 无公网对照检查表证书自动续期 到期告警30/7 天外网探测源站 IP:443 应失败授权自测无 Token 的请求在网关被拒管理 API 另域名或另入口且不进访客式宽放行访问日志能回答「谁、从哪、何时、哪个路由」六、问题定位速查用户说法分支打不开 / 域名不存在DNSdig再链路与安全组提示不安全 / 证书错误TLSopenssl/curl换网络对比401 / 403 暴增网关鉴权、时钟、密钥轮换、WAF 误杀只有公司网不行代理、SSL 检查、内网 DNS很慢但证书正常回源、限流、排障手册「很慢」——不全是安全边缘正常直连 IP 也能进绕过立刻收源站安全组合成案例值班用下午两点起移动端大面积证书错误桌面浏览器偶发。dig正常openssl显示新证书已签发但中间证缺失部分浏览器缓存了完整链WebView 更严。修复补全证书链配置监控增加「链完整性」检查而不是只看到期日。6.1 第二则合成解析「像被劫持」部分地区用户进入钓鱼式页面公司办公室正常。办公室dig指向正确 CDN用户侧解析到陌生 IP。分支用户本地恶意软件改 DNS、运营商缓存异常、或真有区域性污染。动作让用户改用可信递归或蜂窝对比检查权威记录是否被改对内沟通避免直接下「我们被打穿」的结论。安全组与证书此时都正常——问题在名字。6.2 第三则合成401 与时钟网关验 JWT突然大面积 401。证书锁仍绿。某机房 NTP 偏移十几分钟Tokennbf/exp校验失败。动作修时钟监控节点时间偏移别先轮换全体密钥除非已确认泄漏。七、小结DNS 错后面全错先证伪解析再谈被劫持。TLS 管信道与服务器身份管不了暴露面与业务授权。入口设备是控制点源站可直连时边缘等于装饰。续期与链完整和算法套件同等重要。工具不必多dig、openssl s_client、curl -v能覆盖大半现场。