高防和Web防火墙的SNI问题排查方法
名词解释：
- 高防（High-Performance DDoS Protection）
- 一种云安全防御服务，用于抵御分布式拒绝服务（DDoS）攻击。
- 通过配置和调整防火墙、网络配置和其他控制手段，以确保关键系统和数据服务的高可用性和安全性。
- Web防火墙
- 一种用于保护Web应用免受恶意攻击、拒绝服务等潜在威胁的防火墙。
- Web防火墙可以在Web应用周围建立一道安全屏障，以监控和过滤所有进入和离开网络流量的数据。
- SNI (Server Name Indication)：
- 一种用于解决客户端与服务器之间名称解析问题的机制。
- 它允许服务器通过将其主机名和端口号与证书进行关联，以向客户端展示正确的IP地址。
- 排查方法（Debugging Method）：
- 在系统、网络或特定技术领域找出并解决故障问题或性能瓶颈的方法。
- 高防和Web防火墙在SNI问题上的排查方法涉及对Web资源、服务器以及流量日志进行分析，以便了解故障的具体原因。
相关·内容
5回答
网站速度慢或者带宽觉得费用高，个人开发者，一般都会想到使用cdn，一方面可以隐藏IP地址，保护了源服务器不会因为攻击，而出现问题，一方面可以提高网站访问速度。有人想到用cdn防御ddos攻击
浏览 921提问于2021-09-27
请描述您的问题
标题：BGP高防IP产品简介 - 大禹网络安全 - 文档首页 - 腾讯云文档平台 - 腾讯云
地址：https://cloud.tencent.com/document/product/297/6889
浏览 180提问于2018-03-20
1回答
下一代防火墙Palo Alto如何解密TLS 1.3连接？
据我在TLS 1.3中的理解，SNI在"Client“中发送的信息是用该网站所有者在DNS TXT记录中发布的公钥加密的。
因此，像Palo Alto这样的防火墙在连接此类网站时，无法看到客户端试图连接的位置(因为SNI是加密的)，因此无法充当转发代理，无法代表用户打开连接。
我找到了一篇Palo支持文章，它描述了如何配置TLS1.3解密，但它没有描述解密是如何在幕后工作的
浏览 24提问于2022-09-08得票数 0
回答已采纳
我遇到了一个关于Serilog、IIS、Server和.NET框架的问题。我在.NET 5微服务中使用了Serilog，它的工作原理非常完美。Server权限似乎没有问题。我可以在本地运行.NET框架解决方案，并使用连接字符串直接将Server作为目标。
我补充说：
<section name="MSSqlServerSettingsSection"
type="Serilog.Configuration.MSSqlServerConfigurationSection, Serilog.Sinks.MSSqlServer"/>
浏览 7提问于2022-05-10得票数 1
我用腾讯云服务器（ubuntu）上成功安装了Rstudio Server和Rstudio等软件，但是利用腾讯云的账号和密码并不能通过8787端口 成功登陆。
浏览 828提问于2019-11-08
1回答
我们在通过Xamarin.iOS应用程序调用内部api服务器时遇到了问题。
我们的反向代理服务器总是返回403个HTTP错误。服务器日志显示：“没有通过SNI为基于名称的虚拟主机提供主机名”。
和Mono TLS :没问题。但对于苹果TLS来说，这是行不通的。我们对所有HTTP实现进行了测试:托管代码、NSUrlSession和CFNetwork，结果相同。
我知道Apple支持SNI。当在iPhone上使用Safari时，我们的web服务器提供没有问题的内容。
但是，用Xamarin，特别是苹果TLS，是不可能的。
你知不知道？
PS :我们通过了证书验证。
ServicePointMana
浏览 2提问于2016-08-26得票数 1
回答已采纳
我有问题，当我启动我的chrome，并尝试访问https页面时，我看到了这个错误：
错误1013射线ID: 2cb7c5989ac13dd8·2016-08-01 08:03:08 UTC HTTP主机名和TLS SNI主机名不匹配
您请求的IP地址是CloudFlare网络的一部分。请求的主机标头与请求的TLS SNI主机标头不匹配。
那是什么？在哪里放置cloudfare以及如何将其从浏览器中删除？
浏览 59提问于2016-08-01得票数 0
自定义的用户和权限目录，安全组已配置，但是就是连不上。
QQ截图20180907133418.png
浏览 717提问于2018-09-07
1回答
我购买的是腾讯云2核8GWIN系统, 上海二线的腾讯云，我在广东远程登录服务器，总是掉线，链接不上，我已经从新安装了系统，还是有这样的问题。是啥原因？
浏览 733提问于2021-05-11
1回答
个人页面域体系结构
、、、
我们期待为我们的用户添加个人页面生成器，这是足够简单的，而他们都在我们的领域。我们也想让他们通过我们购买他们自己的域名，并在他们的域名上服务这些页面。
我们目前使用Google来满足我们所有的部署和服务器需求，到目前为止，它已经相当不错了。现在的问题是，我实际上不能将域指向App上的单个页面处理程序，因此我将不得不求助于外部解决方案。
我们可以轻松地处理页面生成，我面临的主要问题是为来自单个服务器的不同域提供不同的动态页面。
你建议的建筑是什么？我应该研究哪些技术/平台？(当这件事结束时，我们正在观察大量的用户流量)
浏览 0提问于2016-01-07得票数 1
这个问题被多次问了一遍，并且有很好的答案，
但是我们有一个问题，就是我们没有足够的公共ips来为基于ssl的单个url分配。我有一个非常基本的问题:我们能否在windowsXP和IE8上运行SNI站点(指向单个ip)。
我们有一些解决办法，比如，购买另一个IPS池，但这将使我们付出很大的代价。谢谢
浏览 3提问于2014-05-02得票数 6
回答已采纳
在新创建的AKS集群上，我们遇到了设置k8s资源(调用.)的豆荚问题。将TLS握手超时到api时出错。通过登录到使用OpenSSL的pod，我可以看到没有从服务器返回的证书。
openssl s_client -connect 10.0.0.1:443
CONNECTED(00000003)
write:errno=0
---
no peer certificate available
---
No client certificate CA names sent
---
SSL handshake has read 0 bytes and written 293 bytes
Verific
浏览 3提问于2020-03-06得票数 1
回答已采纳
我刚刚下载了Windows软件包，但是安装失败了，因为“ASP.MVC安装程序包有问题。安装过程中运行的程序没有按预期完成。请与您的支持人员或包供应商联系。”消息。
我看到其他人也有同样的问题()。还有别人吗？
我正在运行VS 2008专业版与SP1在Vista上。
其他信息:模板中的错误(C:\Program \Microsoft文件(StateMachineWorkflowLibrary.vstemplate) )。未注册ProjectType (VisualBasic)。这可能是由于不正确的ProjectType或项目类型包未安装造成的。出现在事件日志中。
顺便说一下，我没有安装Visu
浏览 11提问于2008-10-23得票数 1
回答已采纳
1回答
是否可以为一个带有Apache (相同域)的网站安装多个RSA证书？我的困境是：
我们有一个老客户端，它通过自定义C++应用程序(而不是web浏览器)与我们的web服务器进行通信，我们绝对不可能更新它来使用现代SSL证书的现代密码。使用SHA1是硬编码的，正如我所说的，它不能被更新。
在此客户端设备与之通信的同一服务器上也存在一个网站。我们需要更新一些东西，以便当人们使用web浏览器并导航到我们的站点时，我们将发布一个现代的SSL证书。但是，当旧客户端设备通过https与此服务器的api通信时，我们希望使用旧的sha1证书来保护它。(是的，是的，我知道……)
我被引导相信，通过Apache，您
浏览 1提问于2019-09-16得票数 0
3回答
WAF白名单添加功能找不到了，原来的云安全网址https://console.cloud.tencent.com/security 也无法访问了，后台URL改成什么了。
原来的界面：
waf.png
因为网站程序discuz升级需要运行install/update.php文件，被网站安全自动拦截显示404了，网上找到了是WAF防御添加白名单的功能（http://bbs.qcloud.com/thread-8071-1-1.html ），但是后台无法找到这个选项。麻烦给我最新版的url，让我临时添加白名单，升级后我再删除。或者提供暂时关闭waf的方法，或者是已经更新成新的功能菜单，谢谢
浏览 716提问于2019-09-30
1回答
您的请求在Web服务器中没有找到对应的站点！
可能原因：
您没有将此域名或IP绑定到对应站点!
配置文件未生效!
如何解决：
检查是否已经绑定到对应站点，若确认已绑定，请尝试重载Web服务；
检查端口是否正确；
若您使用了CDN产品，请尝试清除CDN缓存；
普通网站访客，请联系网站管理员；
浏览 725提问于2019-09-15
我有一个Ruby轮询脚本，它运行在IP范围内的一组服务器上。我非常喜欢通过IP地址，而不是主机名来进行此轮询，因为：
1)我定义了要轮询的IP地址范围，主机名是任意的/经常更改
2)由于主机名变化很大，大多数主机名都没有反向DNS查找，因此我无法从IP中设计出主机名列表
在我们的web服务器对这个轮询没有问题之前，但是在一个不接受SSLv3通信的新服务器上，当我运行我的轮询时会遇到这样的错误：
/home/dashboard/.rvm/rubies/ruby-2.1.6/lib/ruby/2.1.0/net/http.rb:923:in `connect': SSL_connect r
浏览 4提问于2015-11-12得票数 1
回答已采纳
我有两个SSL网络服务器和一个公共IP地址。
我拥有一个TLD (example.com)，我想做的是将server1.example.com重定向到内部服务器A，server2.example.com重定向到内部服务器B。
我该怎么做呢？web服务器不是IIS或Apache，但它们是使用端口443管理web应用程序。
浏览 0提问于2017-07-30得票数 7
我有一个C# MVC应用程序(.NET框架4.6.2)，它的web服务位于应用程序内部的/webservice上。WCF web服务是为第三方供应商调用和推送他们的数据。我们在Windows Server 2016服务器上的测试环境中打开了应用程序，端口为80和443，并且我们的证书并不是自签名和有效的。当我们使用SoapUI测试服务时，我们能够正确地到达web服务并将测试数据发布到服务器，但是当我们的供应商发布来自他们的Java应用程序的数据时，就会得到“连接重置”。我们已经删除了所有身份验证，只是试图让它们到达WCF，但是IIS日志和应用程序日志甚至没有显示它们击中了我们的服务器。Soap
浏览 0提问于2019-06-01得票数 1
回答已采纳
1回答
在项目中有两个数据源:一个是项目自己的数据库，另一个是(半)遗留web服务。问题是管理部分必须保持它们的同步和管理，这样用户就不必知道它们是分开的(或者，确实知道，但是他们不关心)。
这里有一个例子:有语言列表。应用程序--项目和遗留--都需要使用。然而，他们都增加了自己的意义。例如，项目可能需要活动/非活动，遗留将需要语言代码。
但是管理部分必须管理所有东西--语言名称、活动/非活动、语言代码。当加载时，来自两个系统的数据必须合并和显示，当保存时，数据必须在两个系统中更新。
因此，表示这些分离的数据(在管理页面中使用)的最佳方法是什么？注意，我使用了ASP.NET MVC / NHibern
浏览 0提问于2009-12-17得票数 0
回答已采纳
1回答
我需要使用基于名称的虚拟主机在SSL上托管一些web应用程序。
Apache文档表明，如果所有站点都由SSL证书覆盖，则这是可能的(https://wiki.apache.org/httpd/NameBasedSSLVHosts)。
是否有一种方法可以将一个证书用于*.foo.com和*.bar.com等多个域的https通信？
我看到有一个名为UCC (http://support.godaddy.com/help/article/3908/what-is-a-multiple-domain-ucc-ssl-certificate)的证书，它可以完成我正在寻找的任务。这个能用于我的目的吗？
浏览 0提问于2014-05-02得票数 1
回答已采纳
我两者都有:本地主机上的STS服务器和spring应用程序。而且起作用了。我已经测试过OAuth2授权代码授权流-完全工作。
我将STS移到其他机器上，web应用程序在获取访问令牌完全跟踪(从STS重定向后停止/错误；刚开始从：https://sts-machine/authz/oauth2-resource/oauth/token端点获取令牌；停止访问url：https://localwebapp:7443/swd/webLogin?code=306b88903d394f0b8145b2e8035fd306&state=PtTrt8)时出现了问题：
SEVERE: Servlet.s
浏览 2提问于2015-01-05得票数 4
2回答
我想试试反转shell。我尝试使用Powershell命令关闭实时防护：Set-MpPreference -DisableRealtimeMonitoring $true
但它不起作用。我很确定我做的每件事都是对的。我以管理员身份打开它并运行命令。我试着重启窗口，但还是不起作用
浏览 5提问于2021-03-13得票数 1
1回答
我正在尝试使用requests通过SSL访问远程服务器。不幸的是，它配置错误，导致在SNI握手期间响应错误TLSV1_UNRECOGNIZED_NAME，浏览器会忽略该错误，但会在requests中引发异常。
这个问题看起来和这个问题是一样的，但是用Python而不是Java：`
这种连接在不支持SNI的Python 2中工作得很好。如何在Python 3中禁用SNI以使连接正常？
浏览 0提问于2014-07-22得票数 2
1回答
对同一服务器使用多个证书
、、、、
我正在创建一个web应用程序，它将作为白色标签出售给客户，这意味着客户将在URL中看到他们的域，但是所有的流量都将通过我的服务器路由。
我正在使用AWS作为主机。对于每个新客户，我创建了一个cloudfront发行版，但问题是ECS后端，我不想为每个客户创建一个新的集群，但是在不同的域上使用web客户端和服务器会给我带来很多问题。服务器使用SSL证书，因此我无法在客户的域中创建指向我的服务器的路由。
有人知道我如何有效地创建多个端点，每个端点都有自己的证书，而不必设置额外的实例和ECS集群？
浏览 2提问于2021-01-25得票数 1
回答已采纳
运行实时音视频Demo，Web浏览器和Web浏览器可以互通，安卓可以和安卓互通，Web浏览器和安卓不能互通怎么解决
浏览 428提问于2021-03-09
3回答
我有一个Azure Web应用程序，它有15个与之相关的域名(即所有域名映射到同一个应用程序)。
我需要为所有15个域提供SSL，指向同一个Web应用程序。
到目前为止，我的观察是：
传统的SSL绑定每个域需要一个IP地址，所以这个Web应用程序需要15个IP地址。
Azure只为每个Web应用程序提供一个IP，除非我以39美元/次的价格购买额外的IP。我想避免购买15个额外的IP。
我可以在同一个应用服务计划下创建15个Web应用程序，但看起来它们都使用相同的外部IP地址，只要它们处于相同的应用服务计划中，对吗？
较新的SNI绑定方案可以与跨多个域的单一IP地址一起使用，但在较早的浏览器(如
浏览 0提问于2017-02-28得票数 7
2回答
谢谢你的意见。
我想要做的是:我想在一个静态IP地址上托管一些应用程序Web和电子邮件，例如，我自己和两个客户端，主要是为了学习，并可能考虑为几个用户数量较少的长期客户端提供有限的托管服务。
我所拥有的是运行在带有32 IP的XenServer Xeon上，在一个100 IP的连接上，但是在一个静态IP上。
我想知道的是，我想尝试在xenserver上设置几台虚拟机，例如运行(这使用了几个端口) 80、25、1352。因此，我需要弄清楚如何根据域名将流量转发到适当的服务器。所以，例如
单外部广域网IP -> domain1.com:80 -> VM1:80单外部广域网IP ->
浏览 0提问于2014-05-16得票数 0
我正在为驻留在同一服务器上的不同域设置几个不同的SSL证书(从而共享相同的IP地址)。
使用，我发现有些客户端(即)不支持SNI扩展。
因此，我正在考虑制作一个特殊的默认web应用程序，它可以收集这些客户端的请求，但是我如何模拟这些客户机呢？
我在Windows 8上，如果这重要的话，我没有访问Linux机器的权限。
浏览 14提问于2015-02-03得票数 25
回答已采纳
1回答
我试图在高可用性配置中配置WSO2 ESB/GREG，如下所示：
在两个单独的Solaris服务器上安装/配置的两对GREG对。
每个服务器都在单独的安装目录中安装了Greg4.5.3(端口偏移量0)和ESB 4.7.0 (端口偏移量1)的实例。
GREG安装被配置为使用ORACLE，两者都连接到相同的数据库/模式，因此向一个GREG添加一些内容在另一个GREG中是可见的。
ESB安装由上面的远程GREGs (每个服务器上的每个服务器)配置，并指向相同的ORACLE数据库/模式，用于配置/治理注册表构件。
在所有4个安装上都启用了部落同步。
我们计划使用自己的负载均衡器来循环到其中一个
浏览 1提问于2013-07-23得票数 0
回答已采纳
1回答
如何阻止所有黑客攻击？
、、、、
这个题目解释了我的大部分问题。操作系统是linux (Lubuntu)。服务器是Apache2 (PHP5)、MySQL 5.6和FTP (Samba)。
浏览 0提问于2014-09-08得票数 -2
回答已采纳
2台腾讯云服务器，一台是centos5.7，一台是tencent linux，相同的jdk和tomcat，tomcat下部署了相同的war包
项目启动起来，web表单提交的数据 获取到的编码却不同，这是怎么回事？
浏览 324提问于2020-01-06
1回答
我想要创建一个到RabbitMQ的Openshift路由。
据我在上了解的文档，"TLS“支持应该能够检查SNI头，然后将流量路由到适当的服务。
不幸的是，我在边缘终止和重新加密终止方面都有问题。在这两种情况下，HAProxy似乎都会检查流量并抛出一个错误，因为内容不是HTTP。
使用一个使用AMQP库的简单Java应用程序，我可以看到以下流量：
javax.net.ssl|DEBUG|01|main|2021-02-26 13:35:47.001 CET|SSLSocketOutputRecord.java:331|WRITE: TLS12 application_data, len
浏览 2提问于2021-02-26得票数 0
回答已采纳
1回答
在游戏中捕捉键盘？
、、、
我正在尝试使用unity3d来执行按钮监控功能，但现在我遇到了一些困难。我的第一个方法是通过钩子做，一切都很好，直到我遇到英雄联盟，在这个游戏的界面上，我的键盘不能被钩子捕获。主要代码如下：
[DllImport("user32.dll", CharSet = CharSet.Auto, SetLastError = true)]
public static extern IntPtr SetWindowsHookEx(int idHook, LowLevelHookProc lpfn, IntPtr hMod, uint dwThreadId);
public delega
浏览 4提问于2021-10-25得票数 1
回答已采纳
扫码
添加站长 进交流群
领取专属 10元无门槛券
手把手带您无忧上云
相关资讯
热门标签
云服务器
ICP备案
实时音视频
对象存储
即时通信 IM活动推荐
腾讯云开发者
