HTTPS, TLS ve sertifikalar
TLS termination ve reverse proxy
Güven sınırını her bağlantı ayağında çiz.
Kavramı anlayalım
CDN veya reverse proxy TLS’i sonlandırdığında istemci bağlantısının plain içeriğini görür. Proxy’den origin’e ayrı bağlantı açılır; bunun TLS olup olmadığı ayrı yapılandırmadır. “Dışarıdan HTTPS” iç ağın otomatik şifreli olduğu anlamına gelmez. Origin doğrudan erişimi ve proxy kimliği de değerlendirilir.
X-Forwarded-Proto/Host veya Forwarded uygulamaya dış isteği anlatabilir. Ancak internetteki her istemciden bu başlıkları doğru kabul etmek host spoofing ve yanlış redirect üretir. Yalnız güvenilen proxy’lerden gelen bilgileri, hop sayısını ve header temizleme politikasını kabul et.
ASP.NET Core forwarded headers davranışı sürüm/config’e bağlıdır; güvenilen proxy/network listelerini kur. Secure cookie, absolute URL ve HTTPS redirect kararları proxy bilgisiyle doğru bağlanmalıdır. Sözleşmeyi yalnız local ortamda değil gerçek gateway zincirinde test et.
Canlıda redirect loop ve güvensiz URL üretimini çözmek için.
X-Forwarded-Proto’yu herkesten güvenilir kabul etmek.
Aynı konu. Üç farklı derinlik.
Browser ─HTTPS─ proxy ─HTTPS─ APIİki ayrı TLS bağlantısı vardır.
Bu sayfa dış sunuculara istek göndermez. HTTP mesajları temsili, HTTP/1.1 biçiminde okunabilir gösterimlerdir; HTTP/2 ve HTTP/3 wire formatı değildir. example.test ayrılmış öğretim alan adıdır. Komut ve JavaScript örneklerini yalnız kendi test ortamında uygula; gerçek token veya cookie yayımlama.
Önce kendin dene.
Origin HTTP kullanıyorsa dış HTTPS bütün yolu korur mu?
Çözümü ve açıklamasını göster
Client leg security ≠ origin leg securityHayır; ikinci bağlantıyı ayrı korumak gerekir.