← Cloudflare SSL/TLS / ssl / origin-configuration / authenticated-origin-pull

O službě

Když návštěvníci požadují obsah z vaší domény, Cloudflare se nejprve pokusí obsah doručit z cache. Pokud se to nezdaří, Cloudflare odešle požadavek, případně origin pull : zpět na váš origin server, aby získal obsah.

Authenticated Origin Pulls zajišťuje, že všechny tyto origin pulls pocházejí z Cloudflare. Jinými slovy, Authenticated Origin Pulls zajišťuje, že žádný požadavek HTTPS mimo Cloudflare neobdrží od vašeho originu odpověď.

Tento blok platí také pro požadavky na DNS záznamy bez proxy v Cloudflare.

Cloudflare vynucuje authenticated origin pulls přidáním další vrstvy autentizace pomocí TLS klientského certifikátu při navazování spojení mezi Cloudflare a origin webovým serverem.

Podrobnosti najdete v úvodní příspěvek na blogu ↗.

Podrobnosti uvádí Co je TLS handshake? ↗.

Standardní handshake TLS

TLS handshake s autentizací klienta

Bez Authenticated Origin Pulls provádí Cloudflare standardní TLS handshake mezi klientským zařízením a Cloudflare a také mezi Cloudflare a vaším originem. Platí to i v případě, že máte Full nebo Full (strict) režimy šifrování povoleny.

    flowchart TD
      accTitle: Connection diagram without Authenticated Origin Pulls
      A[End user query for <code>example.com</code>] --Standard TLS Handshake--> B[Cloudflare network]
      B --Standard TLS Handshake--> C[Origin server]
      D[External device] --Standard TLS Handshake ----> C

Tato absence ověřování znamená, že i v případě, že váš origin server je chráněno za Cloudflare - útočníci se znalostí IP adresy vašeho originu budou na HTTPS požadavky od vašeho originu stále dostávat odpověď.

S Authenticated Origin Pulls provádí Cloudflare standardní TLS handshake mezi klientským zařízením a Cloudflare, ale mezi Cloudflare a vaším originem probíhá TLS handshake s ověřením klienta.

    flowchart TD
      accTitle: Connection diagram with Authenticated Origin Pulls
      A[End user query for <code>example.com</code>] --Standard TLS Handshake--> B[Cloudflare network]
      B --Client authenticated TLS Handshake--> C[Origin server]
      D[External device] --Standard TLS Handshake -----x C

Tato dodatečná vrstva ověřování zajišťuje, že žádný požadavek HTTPS mimo Cloudflare nedostane odpověď z vašeho origin serveru.