http-杂货铺.md

WEB结构组件: 客户端 服务器 代理 缓存 网关 隧道 Agent代理

• client:
• server:
• prox: 客户端和服务器之间的HTTP中间实体
  位于客户端和服务器之间，接收所有客户端的HTTP请求，并将这些请求转发给服务器（可能会对请求进行修改之后转发）
• cache: HTTP的仓库，使常用页面的副本可以保存在离客户端更近的地方
• gateway: 连接其他应用程序的特殊Web服务器
  作为其他服务器的中间实体使用。通常用于将HTTP流量转换成其他的协议
• tunnel: 对HTTP通信报文进行 盲转发的特殊代理
  通常用来在一条或多条HTTP连接上转发非HTTP数据，转发时不会窥探数据
• Agent: 发起 自动HTTP请求的半智能Web客户端

https: http+SSL/TLS

https报文在被包装成tcp报文的时候完成加密的过程，无论是https的header域也好，body域也罢都是会被加密的。当使用tcpdump或者wireshark之类的tcp层工具抓包，获取是加密的内容，而如果用应用层抓包，使用Charels(Mac)、Fildder(Windows)抓包工具，那当然看到是明文的。

https 握手

1. 客户端发起HTTPS请求

2. 服务端的配置

   采用HTTPS协议的服务器必须要有一套数字证书，可以是自己制作或者CA证书。区别就是自己颁发的证书需要客户端验证通过，才可以继续访问，而使用CA证书则不会弹出提示页面。这套证书其实就是一对公钥和私钥。公钥给别人加密使用，私钥给自己解密使用。

3. 传送证书即公钥

   这个证书其实就是公钥，只是包含了很多信息，如证书的颁发机构，过期时间等。

4. 客户端解析证书

   这部分工作是客户端的TLS来完成的，首先会验证公钥是否有效，比如颁发机构，过期时间等，如果发现异常，则会弹出一个警告框，提示证书存在问题。如果证书没有问题，那么就 生成一个随机值(私钥)，然后用证书对该随机值进行加密。

5. 传送加密后的随机值

   这部分传送的是用证书加密后的随机值，目的就是让服务端得到这个随机值，以后 客户端和服务端的通信就可以通过这个随机值来进行加密解密了。

6. 服务段解密信息

   服务端用私钥解密后，得到了客户端传过来的随机值(私钥)，然后 把内容通过该值进行对称加密。所谓对称加密就是，将信息和私钥通过某种算法混合在一起，这样除非知道私钥，不然无法获取内容，而正好客户端和服务端都知道这个私钥，所以只要加密算法够彪悍，私钥够复杂，数据就够安全。

7. 传输加密后的信息

   这部分信息是服务段用私钥加密后的信息，可以在客户端被还原。

8. 客户端解密信息

   客户端用之前生成的私钥解密服务段传过来的信息，于是获取了解密后的内容。

SNI: Server Name Indication

ref: https://blog.youkuaiyun.com/makenothing/article/details/53292335

SNI (Server Name Indication)是用来改善服务器与客户端 SSL (Secure Socket Layer)和 TLS (Transport Layer Security) 的一个扩展。主要解决一台服务器只能使用一个证书(一个域名)的缺点，随着服务器对虚拟主机的支持，一个服务器上可以为多个域名提供服务，因此SNI必须得到支持才能满足需求。

SNI的设计目的是为了让服务器根据请求来决定为哪个域服务，这个信息通常从HTTP请求头获得。

有了 SNI 扩展，在第一步发起 HTTPS 连接的时候，客户端将会发送对应的域名给服务器的 443 端口。服务器收到之后检查对应域名的证书返回给客户端完成支持。

主机壳http调度

在标准 Nginx 中，都是通过配置文件的方式实现的证书载入和更新。但是作为 CDN 厂商我们是无法容忍 reload 的。因此我们二次开发 Nginx 完成动态证书支持，将 证书和私钥全部存放到 CDN 节点的内存中，当用户请求 Hostker&主机壳 的 CDN 时，我们不需要查询配置文件，直接读取域名并在内存中找到对应的证书和私钥完成握手过程。

用户对某个域名进行增加、删除证书和私钥操作时，我们会直接把对应操作下发到全网 CDN 节点，直接操作内存进行修改。同样不需要接触 Nginx 的配置文件，节省的 reload 过程可以让操作生效时间非常短，通常在 1 分钟内就可以完成全网部署。