V2EX = way to explore
V2EX 是一个关于分享和探索的地方
现在注册
已注册用户请  登录
V2EX  ›  jianglibo  ›  全部回复第 4 页 / 共 6 页
回复总数  103
1  2  3  4  5  6  
@Rache1 就是涉及到 ca 的复制、导入,系统重装之后就全部要重来了,原来的证书和 ca 都不见了,cert-ctrl 不需要在机器之间复制,重装系统也没有关系。当然也不是没有代价,就是你提到的需要安装客户端。
@xitler 或者你直接从浏览器调用我的 api 服务器作为测试好了 https://api.cjj365.cc , 我的设置不允许除了 https://cjj365.cc 之外的网页调用。
@xitler 为了便于你理解,比如有一个 api 服务器, https://api.some.where.support.cors , 你从服务器一侧调用没有任何问题,但是你直接从你的浏览器调用这个 api 为发生什么, 想象一下,实践一下,不会在感到迷惑,提高了自己的水平.
@chaoshui 代理就是避开了 CORS ,你可能需要更深层的思考和实践。访问[这里]( https://api.cjj365.cc/r/v2ex1),然后启用 chrome 的 dev panel ,仔细观察请求,你会更深的理解这个问题。
@Rache1 一般来说证书固定在提供服务的机器上,http server,mail server etc. 而 ca 需要导入到需要访问这个服务的机器上,mkcert 的使用场景本机,如果你要达成从其它机器访问又变成手动模式了,如果是手动模式,那么你直接用 openssl 好了。工具的目的是让你不要去折腾,或者一次性设置,在整个职业生涯中可重复利用以节约时间和脑力。
@willbeok 如果你注册一下, 这个架构就非常清晰了,cert-ctrl 登陆之后,类似于 cloudflare,tailscale 客户端,它和[中心服务器]( https://api.cjj365.cc/r/v2ex1)交互,你在 web 端的 CA ,证书全部会自动分发,这样描述你能明白吗?
1 月 26 日
回复了 jianglibo 创建的主题 程序员 有多少人正真知道 amce challenge 的区别?
@holulu 不要激动,之前已经说的这么清楚了,acme server 会给你一个选择列表,你选择一个比如 http-01 ,那么 acme server 就会用 http-01 来挑战,如果你没准备好 http-01 挑战,端口不通,文件不存在,重定向什么的,那就验证失败啊。 这不是预料中的结果吗?
不懂没关系,但不要这么冲。技术上每个人都有不懂,曲解,这很正常,我们也是在开发这个系统的时候深入了解和阅读 RFC 。如果你是 C++程序员,看 RFC 几乎是习惯,我们的 http 应用服务和 http client 都是按照 RFC 自己写的,当然基于几乎成品的 Boost beast 。RFC 几乎就是 single source of truth.
1 月 26 日
回复了 jianglibo 创建的主题 程序员 有多少人正真知道 amce challenge 的区别?
@diudiuu 非常感谢。有机会学习一下,我们是用 c++实现的。这是客户端的实现: https://github.com/coderealm-atlas/cert-ctrl
1 月 26 日
回复了 jianglibo 创建的主题 程序员 有多少人正真知道 amce challenge 的区别?
@caola 如果我自己用 acme 还要用你的 cao.la 做什么?我是指你的站点提供的服务看起来好像很难自动化这个过程(没有任何技术层面的评判),仅仅指功能的实现。
1 月 26 日
回复了 jianglibo 创建的主题 程序员 有多少人正真知道 amce challenge 的区别?
@wintersun 误会,此 Agent 是指一个运行在服务器端的小程序,好多运维系统都需要安装一个 agent 。我的 agent 是一个 c++实现,开源[cert-ctrl]( https://github.com/coderealm-atlas/cert-ctrl). 和大模型无关。
1 月 26 日
回复了 jianglibo 创建的主题 程序员 有多少人正真知道 amce challenge 的区别?
@jinliming2 理解完全正确,再想象一下有一个 agent 运行在服务器上,通过 websocket 和签发服务 connect 。服务中兴发现证书过期时间临近,发起新的证书申请,在告诉 acme ( let's
encrypt )验证方式之前,先通过 websocket 指挥 agent 启动监听。是不是完全的自动化?
1 月 26 日
回复了 jianglibo 创建的主题 程序员 有多少人正真知道 amce challenge 的区别?
@caola 我尝试了一下:
域名:
_acme-challenge.www.cao.la
验证值:
oX2rQVj7mBB4dXND2MglxPlGNSLlyucOsN7JlPPMpj0
说明只支持 CNAME 验证,无法申请 IP 证书, 如何自动更新也是个问题,除非有 agent 。有 agent 的话,就可以在验证开始时自动 spin up 一个监听器,结束后解除监听。可以完成所有的自动化过程,比如将证书合并,haproxy 需要将 pem 和 key 合并到一个文件。
1 月 26 日
回复了 jianglibo 创建的主题 程序员 有多少人正真知道 amce challenge 的区别?
@holulu 你在说什么呀,至少先问问 AI 再发表这种外行的言论.
1 月 26 日
回复了 jianglibo 创建的主题 程序员 有多少人正真知道 amce challenge 的区别?
@cccer 又是一个 typo ,stream.
stream {
map $ssl_preread_alpn_protocols $stream_backend {
~*acme-tls/1 127.0.0.1:9443;
default 127.0.0.1:8443;
}

server {
listen 443;
listen [::]:443;
proxy_pass $stream_backend;
ssl_preread on;
}
}
1 月 26 日
回复了 jianglibo 创建的主题 程序员 有多少人正真知道 amce challenge 的区别?
@cccer 不用停机,你可以做到,给你一个提示 steam ,你访问我提到的网站,我保证你可以成功不停机自动更新 nginx 和 haproxy ,我自己的网站就是这么做的啊。
1 月 26 日
回复了 jianglibo 创建的主题 程序员 有多少人正真知道 amce challenge 的区别?
@diudiuu 为了便于你理解,我简化描述一下流程。你:请给 xxx.xx.com 签发证书,acme server: 给你一个它支持的 challenges 列表,比如 http-01,dns-01...。 你:请使用 http-01 验证,acme server: 好的,我就用 http-01 验证,它不会去遍历所有的 candicates 。
1 月 26 日
回复了 jianglibo 创建的主题 程序员 有多少人正真知道 amce challenge 的区别?
@qwx sorry,typo. 我改一下。
1 月 26 日
回复了 jianglibo 创建的主题 程序员 有多少人正真知道 amce challenge 的区别?
@diudiuu ‘有些基于 acme 做的’这个表述说明你还不是很清楚这个问题,需要继续思考。
1 月 26 日
回复了 jianglibo 创建的主题 程序员 有多少人正真知道 amce challenge 的区别?
@DejavuMoe 是的,这个概念很重要。如果深入思考的话,只有 DNS-01 支持是必然的。IP 证书,或者 http-01 ,tls-alpn-01 都只能确定单个 hostname 。
1 月 26 日
回复了 jianglibo 创建的主题 程序员 有多少人正真知道 amce challenge 的区别?
@holulu http ( HTTP-01)可以直接复用端口,但是 https 呢?
1  2  3  4  5  6  
关于   ·   帮助文档   ·   自助推广系统   ·   博客   ·   API   ·   FAQ   ·   Solana   ·   3353 人在线   最高记录 6679   ·     Select Language
创意工作者们的社区
World is powered by solitude
VERSION: 3.9.8.5 · 18ms · UTC 11:46 · PVG 19:46 · LAX 04:46 · JFK 07:46
♥ Do have faith in what you're doing.