このトピックでは、SSL/TLS の概念、機能、ユースケースに関するよくある質問に回答します。
証明書のリスク警告の解決方法
問題
Edge Security Accelerator (ESA) コンソールでドメインに HTTPS 証明書を設定しても、そのドメインにアクセスすると、ブラウザに証明書のリスク警告が表示されます。
原因と解決策
-
期限切れの証明書: 証明書を更新してから、ESA コンソールで更新してください。証明書を Alibaba Cloud SSL 証明書サービスから購入した場合は、「SSL 証明書の更新と有効期限」を参照して証明書を更新し、次に証明書を更新してください。
-
不正確なシステム時刻：システム時刻が正しくないと、ブラウザーが有効な証明書を期限切れまたは無効と誤って解釈することがあります。コンピューターのシステム時刻が正しいことを確認してから、再度 Web サイトへのアクセスを試みてください。
-
自己署名証明書：自己署名証明書は、信頼できる認証局 (CA) によって発行されたものではありません。自己署名証明書はスプーフィングや中間者攻撃に対して脆弱で、セキュリティ警告の原因となるため、ブラウザーはこれを信頼しません。信頼できる CA によって発行された証明書に置き換えることを推奨します。Alibaba Cloud SSL Certificates Service から証明書を購入できます。
-
混合コンテンツ：この問題は、セキュアな HTTPS ページが HTTP 経由でセキュアでないリソースを読み込むときに発生します。すべてのリソースリンクで HTTPS を使用するように更新してください。
-
古い TLS バージョン: SSL/TLS には、SSLv2、SSLv3、TLSv1.0、TLSv1.1、TLSv1.2、TLSv1.3 といった複数のプロトコルが含まれます。現在安全と見なされているのは、TLSv1.2 と TLSv1.3 のみです。ESA コンソールで、古い安全でないプロトコルを無効にし、TLSv1.2 または TLSv1.3 のみを有効にします。詳細については、「TLS バージョンと暗号スイートを設定する」をご参照ください。
-
脆弱な暗号スイート：選択された暗号スイートが脆弱または古い場合があります。128 ビット AES-GCM に基づくものなど、強力な暗号化を提供する最新の暗号スイートを使用してください。
無料の ESA 証明書の有効期限
ESA は、ドメインに現在デプロイされている証明書に影響を与えることなく、無料の証明書を自動的に更新します。
-
自動更新のタイミング：ESA は、無料証明書の有効期限が切れる 30 日前に自動更新を試みます。再申請する必要はなく、この更新は証明書のクォータにはカウントされません。
-
更新失敗のリスク：無料証明書は Let's Encrypt によって発行されるため、DNS 名前解決エラーや検証の失敗が原因で、更新に失敗することがあります。
自動更新が失敗した場合、ESA は SMS と E メールで通知します。サービスの停止を避けるために、手動で新しい証明書をアップロードする必要があります。
レイヤー 4 プロキシモードにおけるクライアント証明書のパススルー
ESA は、ビジネス要件に応じて、クライアント証明書を処理するための 2 つのモードを提供します。
-
ESA ノードが TLS を終端 (標準 mTLS)：このモードでは、ESA ノードが TLS 終端ポイントとして機能し、クライアント証明書は ESA ノードで検証されます。これにより、クライアントと ESA 間のリンクが保護されます。このモードを設定するには、「クライアント証明書の設定」をご参照ください。
-
レイヤー 4 プロキシ (TCP パススルー)：クライアント証明書を検証のためにオリジンサーバーに直接渡す、エンドツーエンドの mTLS 認証を実装するには、ESA のレイヤー 4 プロキシ機能を使用します。このモードでは、ESA は TLS 接続の終端や証明書の置き換えを行いません。代わりに、クライアントの TLS ハンドシェイクがオリジンサーバーに直接渡され、mTLS が完了します。この機能を使用するには、Enterprise Edition へのアップグレードが必要です。レイヤー 4 プロキシの詳細については、「レイヤー 4 プロキシ」をご参照ください。
HTTPS とは
Hypertext Transfer Protocol Secure (HTTPS) は、HTTP のセキュア版です。クライアントとサーバー間で送信されるデータを暗号化し、傍受や改ざんから保護します。標準の HTTP がデータをプレーンテキストで送信するのに対し、HTTPS は SSL/TLS プロトコルを使用して、セキュアで暗号化された接続を確立します。認証と暗号化の両方を提供するため、オンライン決済などの機密性の高い通信に不可欠です。ESA で HTTPS を設定するには、「SSL/TLS クイックスタート」ガイドに従ってください。このプロセスにより、すべての ESA ノードに証明書がデプロイされ、ネットワーク全体のデータ暗号化が保証されます。