الاتصال الموثَّق بالخادم الأصلي (mTLS): اقبل CDN.com.tr فقط على خادمك الأصلي

في كتلة server التي تخدم CDN: ssl_client_certificate /etc/nginx/cdn-com-tr-origin-pull-ca.pem; وssl_verify_client on; وssl_verify_depth 2; وif ($ssl_client_s_dn !~ "(^|,)CN=<معرّف-الحساب>(,|$)") { return 403; }. مع شهادة CDN.com.tr، اكتب origin-pull\.cdn\.com\.tr بدلًا من <معرّف-الحساب> وأبقِ على فحص X-CDN-Auth لديك.

في المضيف الافتراضي لـ HTTPS: SSLCACertificateFile /etc/ssl/cdn-com-tr-origin-pull-ca.pem وSSLVerifyClient require وSSLVerifyDepth 2، ثم داخل <Location "/"> السطر Require expr %{SSL_CLIENT_S_DN_CN} == "<معرّف-الحساب>".

في كتلة موقعك: tls { client_auth { mode require_and_verify trust_pool file /etc/caddy/cdn-com-tr-origin-pull-ca.pem } }، ثم @notcdn not expression {http.request.tls.client.subject}.matches("(^|,)CN=<معرّف-الحساب>(,|$)") وrespond @notcdn 403. يتطلب trust_pool file الإصدار 2.8 من Caddy أو أحدث.

استورد حزمة CA إلى مخزني Trusted Root Certification Authorities (الجذر) وIntermediate Certification Authorities (الوسيطة) الخاصين بالحاسوب المحلي. في SSL Settings للموقع، فعّل Require SSL واضبط Client certificates على Require. ثم في Configuration Editor، ضمن system.webServer/security/authentication/iisClientCertificateMappingAuthentication، فعّل الميزة وأضف ربطًا من واحد إلى متعدد بقاعدة: certificateField Subject وcertificateSubField CN وmatchCriteria <معرّف-الحساب>.

مع شهادة CDN.com.tr، نعم: تقدّم كل حسابات CDN.com.tr الشهادة نفسها، والترويسة هي التي تميّز طلباتك. أما مع شهادة الحساب فإن فحص CN يقبل حسابك وحده أصلًا؛ ولا ضرر من الإبقاء على الترويسة أيضًا.

لا شيء من جانبك. تُجدَّد الشهادات على خوادمنا الطرفية قبل انتهاء صلاحيتها، من الجهة نفسها وبالاسم نفسه، لذا يظل فحص الاسم (CN) ناجحًا.