اتصال احرازهویت‌شده به مبدأ (mTLS): در مبدأ خود فقط CDN.com.tr را بپذیرید

در بلوک server که CDN را سرویس می‌دهد: ssl_client_certificate /etc/nginx/cdn-com-tr-origin-pull-ca.pem;، ssl_verify_client on;، ssl_verify_depth 2; و if ($ssl_client_s_dn !~ "(^|,)CN=<شناسه-حساب>(,|$)") { return 403; }. با گواهی CDN.com.tr، به‌جای <شناسه-حساب> عبارت origin-pull\.cdn\.com\.tr را بنویسید و بررسی X-CDN-Auth خود را نگه دارید.

در میزبان مجازی HTTPS: SSLCACertificateFile /etc/ssl/cdn-com-tr-origin-pull-ca.pem، SSLVerifyClient require، SSLVerifyDepth 2؛ سپس داخل <Location "/"> این خط: Require expr %{SSL_CLIENT_S_DN_CN} == "<شناسه-حساب>".

در بلوک سایت خود: tls { client_auth { mode require_and_verify trust_pool file /etc/caddy/cdn-com-tr-origin-pull-ca.pem } }، سپس @notcdn not expression {http.request.tls.client.subject}.matches("(^|,)CN=<شناسه-حساب>(,|$)") و respond @notcdn 403. trust_pool file به Caddy نسخهٔ 2.8 یا بالاتر نیاز دارد.

بستهٔ CA را در مخزن‌های Trusted Root Certification Authorities (ریشه) و Intermediate Certification Authorities (میانی) رایانهٔ محلی وارد کنید. در SSL Settings سایت، Require SSL را علامت بزنید و Client certificates را روی Require بگذارید. سپس در Configuration Editor، زیر system.webServer/security/authentication/iisClientCertificateMappingAuthentication، آن را فعال کنید و یک نگاشت یک‌به‌چند با این قانون اضافه کنید: certificateField Subject، certificateSubField CN، matchCriteria <شناسه-حساب>.

با گواهی CDN.com.tr بله: همهٔ حساب‌های CDN.com.tr همین گواهی را ارائه می‌کنند و سرآیند است که درخواست‌های شما را از بقیه جدا می‌کند. با گواهی حساب، بررسی CN از قبل فقط حساب شما را می‌پذیرد؛ نگه داشتن سرآیند هم ضرری ندارد.

در سمت شما هیچ. گواهی‌ها پیش از انقضا روی سرورهای لبهٔ ما، از همان مرجع و با همان نام تمدید می‌شوند، پس بررسی نام (CN) همچنان موفق می‌شود.