CDN:FAQ pengambilan asal

Setelah mengatur protokol asal ke HTTPS, website menjadi tidak dapat diakses dan mengembalikan error 502. Bagaimana cara mengatasinya?

• Periksa apakah server asal mendukung akses HTTPS. Buka https://Origin Domain Name langsung di browser Anda untuk memverifikasi bahwa server asal merespons dengan benar. Jika server asal tidak mendukung HTTPS, ubah protokol asal ke HTTP.

• Periksa apakah port asal sesuai dengan port listening HTTPS pada server asal. Port asal default adalah 443. Jika server asal menggunakan port HTTPS kustom, konfigurasikan port HTTPS yang sesuai (1–65535) di kotak dialog Static Origin Protocol Policy.

• Periksa pengaturan origin HOST dan origin SNI. Jika alamat IP asal dikaitkan dengan beberapa nama domain, konfigurasikan origin SNI untuk menentukan nama domain yang diminta secara tepat, dan atur origin HOST ke nama domain asal.

• Periksa validitas sertifikat SSL pada server asal. Jika sertifikat SSL telah kedaluwarsa atau tidak sesuai dengan nama domain, node CDN gagal melakukan validasi dan mengembalikan error 502. Perbarui sertifikat SSL pada server asal.

• Untuk panduan troubleshooting yang lebih rinci, lihat bagian “FAQ” dalam dokumen Configure origin protocol.

Setelah server asal dikonfigurasi untuk mengalihkan HTTP ke HTTPS, pengambilan asal CDN menyebabkan loop pengalihan. Bagaimana cara mengatasinya?

Gejala: Website mengembalikan error seperti “Too many redirects” atau “ERR_TOO_MANY_REDIRECTS.”

Penyebab: Server asal menerapkan pengalihan HTTP ke HTTPS (mengembalikan status 301), tetapi CDN menggunakan HTTP untuk pengambilan asal. Setelah menerima respons 301, CDN mencoba ulang permintaan melalui HTTP, sehingga terjadi loop pengalihan tak berujung.

Solusi:

1. Ubah port asal CDN ke 443 dan atur protokol asal ke HTTPS.

2. Jika server asal mendengarkan beberapa domain, konfigurasikan origin SNI dan origin HOST untuk menggunakan nama domain yang dipercepat atau nama domain asal.

3. Lakukan langkah pembersihan cache yang dijelaskan dalam Solution for too many redirects.

Ketika CDN menggunakan alamat IP untuk mengambil konten dari Server Load Balancer (SLB) yang memiliki sertifikat SSL dan mengalihkan port 80 ke 443, apakah akan terjadi masalah sertifikat atau dampak lainnya?

Jika CDN melakukan pengambilan asal menggunakan alamat IP publik SLB dan SLB mengalihkan port 80 ke 443, atur protokol asal CDN ke HTTP (mengambil dari port 80 pada SLB) untuk menghindari masalah validasi sertifikat. Jika Anda harus menggunakan HTTPS untuk pengambilan asal, pastikan origin SNI diaktifkan dan daftar putih Common Name mencakup domain sertifikat tersebut. Jika tidak, validasi dapat gagal karena SNI tidak tersedia atau ketidaksesuaian domain.

Apa yang divalidasi oleh daftar putih Common Name?

Selama pengambilan asal, sistem memvalidasi nilai SNI dalam permintaan asal dari node CDN terhadap Common Name dalam sertifikat yang dikembalikan oleh server asal. Nilai-nilai ini harus sesuai agar pengambilan asal berhasil.

Jika Anda tidak mengubah origin SNI, node CDN menggunakan nama domain yang dipercepat sebagai nilai Host default dalam permintaan asal. Oleh karena itu, sistem memvalidasi Common Name sertifikat untuk nama domain yang dipercepat.

Bagaimana cara mengonfigurasi port kustom untuk pengambilan asal HTTPS?

1. Login ke CDN console.

2. Di panel navigasi kiri, klik Domain Names.

3. Pada halaman Domain Names, temukan nama domain target dan klik Manage di kolom Actions.

4. Di panel navigasi domain, klik Origin Fetch.

5. Di bagian Origin Protocol Policy, aktifkan sakelar Origin Protocol Policy.

6. Klik Modify.

7. Konfigurasikan port kustom sesuai kebutuhan.

CDN menggunakan HTTP atau HTTPS untuk pengambilan asal setelah mengaktifkan HTTPS pada domain yang dipercepat?

Mengonfigurasi sertifikat HTTPS pada CDN tidak memengaruhi protokol asal. Secara default, protokol asal bergantung pada port asal yang dikonfigurasi di Configure origin server:

• Jika port asal diatur ke 443, pengambilan asal menggunakan HTTPS.

• Jika port asal diatur ke 80 atau nilai lainnya, pengambilan asal menggunakan HTTP.

Untuk menentukan protokol asal secara eksplisit, konfigurasikan protokol asal sesuai kebutuhan.

Setelah mengaktifkan akselerasi CDN, server asal masih mendengarkan di port 80. Apakah saya harus tetap membukanya? Apakah menonaktifkannya akan memengaruhi layanan CDN?

Sebelum menonaktifkan port 80 pada server asal, pastikan hal berikut:

• Protokol asal untuk nama domain yang dipercepat sudah diatur ke HTTPS (menggunakan port 443).

• Tidak ada layanan atau proses lain di server asal yang bergantung pada port 80 (seperti server web atau pengalihan HTTP).

Jika protokol asal masih HTTP atau “Follow Client,” menonaktifkan port 80 akan menyebabkan pengambilan asal CDN gagal. Anda dapat memeriksa protokol asal saat ini di bawah Domain Names > nama domain yang dipercepat target > Origin Fetch.

Ketika protokol asal diatur ke “Follow,” pengambilan asal gagal karena server asal tidak mendukung HTTPS. Bagaimana cara mengatasinya?

Penyebab: Ketika protokol asal diatur ke “Follow,” dan klien mengakses CDN melalui HTTPS, CDN melakukan pengambilan asal melalui HTTPS. Jika server asal tidak mendukung HTTPS, permintaan tersebut gagal.

Solusi:

• Opsi 1: Ubah protokol asal dari “Follow” ke “HTTP.” CDN akan selalu menggunakan HTTP untuk pengambilan asal.

• Opsi 2: Konfigurasikan sertifikat SSL pada server asal untuk memastikan server tersebut mendukung akses HTTPS.

Untuk detail lebih lanjut, lihat dokumen Configure origin protocol.

Ketika mengakses resource OSS melalui CDN, muncul error You have no right to access this object because of bucket acl.. Bagaimana cara mengatasinya?

Bucket OSS dikonfigurasi dalam mode private (yang menerapkan otentikasi akses dan mencegah konsumsi traffic tidak sah). Dalam kasus ini, aktifkan fitur Private OSS bucket origin fetch untuk nama domain yang dipercepat guna mengatasi error ini dan memungkinkan CDN mempercepat resource dari bucket OSS private.

Ketika mengakses resource OSS melalui CDN, muncul error This request is forbidden by kms.. Bagaimana cara mengatasinya?

Jika bucket OSS Anda menggunakan Key Management Service (KMS) untuk enkripsi, berikan izin tambahan kepada peran origin CDN untuk menggunakan kunci KMS. Jika tidak, CDN tidak dapat mendekripsi dan mengakses file-file tersebut, sehingga menghasilkan error This request is forbidden by kms.

1. Login ke RAM console.

2. Di panel navigasi kiri, pilih .

3. Di daftar Role Name, temukan dan klik peran AliyunCDNAccessingPrivateOSSRole.

4. Klik Add Authorization. Bidang Principal akan terisi otomatis.

5. Di bawah Policies, pilih System Policies, cari dan klik AliyunKMSCryptoUserAccess untuk menambahkannya ke kotak Selected Policies.

6. Klik Confirm New Authorization. Muncul pesan bahwa operasi Completed.

7. Klik Disable.

8. Gunakan fitur refresh and prefetch untuk membersihkan cache. Setelah tugas refresh selesai, coba akses kembali resource tersebut.

Bagaimana cara menggunakan STS untuk mengaktifkan pengambilan asal lintas akun dari bucket OSS private?

Secara default, CDN menggunakan token keamanan sementara Security Token Service (STS) hanya untuk mengambil konten dari bucket OSS private dalam Akun Alibaba Cloud yang sama. Untuk mengaktifkan pengambilan asal lintas akun menggunakan STS, tambahkan Bucket Access Policy di OSS sebagai berikut:

1. Login ke Akun Alibaba Cloud yang memiliki bucket private tersebut dan buka OSS console.

2. Klik Buckets > Target Bucket. Di tab Permission Control > Bucket Policy, klik Authorize.

   

3. Atur Authorized User ke Other Accounts. Di bidang ARN, masukkan nilai berdasarkan cara CDN mengakses bucket OSS private:

   • Otorisasi STS langsung: Masukkan arn:sts:{CDN account UID}, di mana {CDN account UID} adalah Account ID akun CDN.

   • AssumeRole (asumsi peran): Masukkan arn:sts::{CDN account UID}:assumed-role/{CDN account role name}/*, di mana {CDN account UID} adalah Account ID akun CDN, dan {CDN account role name} adalah nama peran RAM yang diasumsikan oleh CDN.

   Untuk Authorized Operation, pilih Simple Settings > Read-Only (excluding ListObject), lalu klik OK untuk menyelesaikan konfigurasi.

   

4. Setelah konfigurasi berhasil, Anda dapat melihat informasi otorisasi di tab Bucket Policy.

   

Setelah mengonfigurasi CNAME untuk nama domain yang dipercepat, pengambilan asal gagal. Bagaimana cara melakukan troubleshooting?

Setelah menambahkan rekaman CNAME untuk nama domain yang dipercepat, jika node CDN gagal melakukan pengambilan asal, masalah ini biasanya disebabkan oleh error resolusi DNS, salah konfigurasi server asal, atau parameter pengambilan asal CDN yang salah. Lakukan troubleshooting sebagai berikut:

1. Verifikasi apakah resolusi CNAME telah berlaku.

   Jalankan ping accelerated domain name atau nslookup accelerated domain name. Jika hasilnya berisi .*.kunlun*.com, resolusi CNAME telah berlaku. Jika hasilnya masih menunjukkan alamat IP asal atau gagal melakukan resolusi, periksa konfigurasi rekaman DNS Anda.

2. Periksa tipe rekaman CNAME dan konfliknya.

   Tipe rekaman harus CNAME. Menggunakan tipe rekaman lain menyebabkan resolusi gagal. Satu rekaman host tidak boleh memiliki rekaman CNAME dan tipe rekaman lain secara bersamaan. Hapus rekaman yang bertentangan dan konfigurasi ulang.

3. Verifikasi keterjangkauan server asal.

   Gunakan curl -I http://origin IP address or domain name untuk memeriksa apakah server asal merespons dengan benar. Pastikan server asal sedang berjalan dan dapat diakses dari jaringan eksternal.

4. Periksa daftar putih IP server asal untuk pengambilan asal.

   Node CDN menggunakan rentang IP tertentu untuk pengambilan asal. Jika server asal memiliki daftar putih IP atau aturan firewall, tambahkan rentang IP asal CDN ke daftar putih tersebut. Jika tidak, server asal akan menolak permintaan asal dari CDN.

5. Periksa konfigurasi protokol dan port asal.

   Pastikan protokol asal (HTTP atau HTTPS) yang dikonfigurasi di CDN sesuai dengan yang didukung server asal, dan port asal sesuai dengan port listening aktual di server asal. Jika server asal menggunakan HTTPS pada port non-standar, konfigurasikan port asal kustom di CDN.

Apakah normal jika header respons Server dari domain yang dipercepat CDN menampilkan AliyunOSS?

Tidak. Hal ini menunjukkan bahwa permintaan melewati node CDN dan mengakses server asal OSS secara langsung. Periksa dan perbaiki konfigurasi resolusi DNS Anda untuk memastikan nama domain hanya di-resolve ke rekaman CNAME yang disediakan oleh CDN.

Ketika pengambilan asal CDN mengembalikan error 5XX, apakah akses berikutnya mengembalikan halaman error atau mencoba ulang permintaan asal?

Secara default, CDN tidak menyimpan cache respons dengan kode status 5XX. Oleh karena itu, pada permintaan berikutnya, CDN mencoba ulang permintaan asal alih-alih mengembalikan halaman error sebelumnya.