201612/mouse.jpeg (图片来自 茶杯中的可爱小白鼠 壁纸 - 2560x1920－堆糖，美好生活研究所)

在上篇文章 🔒 也谈 HTTPS - HTTPDNS + HTTPS 中， 我们谈了如何基于 HTTPDNS 来部署无坚不摧的 HTTPS 通信环境， 这次我们讨论另外一个比较头疼的问题：部署。

小站点部署 HTTPS 相对成本低，改改前端代码，就可以上线了。 但作为业务有一定复杂度的大网站，就没办法这么暴力上线了。

前端在基础库中调整 Scheme 之后，仍然可能存在很多边边角角没有覆盖到。 比如 JS 里面写死了 HTTP，那在 HTTPS 下请求 HTTP XHR 的话， 浏览器会将请求拦截掉。 一旦出现这种故障，用户就无法正常使用业务，小白用户往往也不懂得自己将 https:// 换成 http:// 使用。

解决的思路是足够的内测，找一群人帮我在 HTTPS 环境下使用足够长时间。 让他们当小白鼠，提前发现问题并解决。 于是，我把目光转向了身边的一大大群小白鼠，整个办公室的同事~😄

没错，**我要强制所有同事使用 HTTPS 的公司网站**，从而靠他们帮我发现问题。

靠发邮件、QQ 广播呼吁大家使用 HTTPS 站点的方法，估计是不行的。 没有利益驱动，推动力是不足的，我必须想点强制的手段让他们使用 HTTPS。

有三种方法来达到这个效果：

  1. 业务系统内入口判断用户身份，是雇员的话，切换到 HTTPS
  2. Nginx 入口系统判断 IP 来源，办公室 IP 则切换到 HTTPS
  3. 改造办公室网络，访问站点时候，自动切换到 HTTPS

为了避免对线上业务系统、基础设施造成影响，我采用了第三条方案。

说干就干，直接对公司网络出口设备是 ROSvia 动起刀子。

实现的原理如下：

PS：这里要小心的是，需要配置 proxy.duitang.com 的 resolver 避免 Nginx 内部请求。

流程图：

201612/https_ros_process.jpg

这样操作之后，在办公室网络下，所有访问公司网站的 HTTP 流量都会跳转到 HTTPS。

PS：我原始方案想使用 ROS 的 L7 防火墙 直接抓 HTTP 包，match HTTP 头数据， 再修改返回的 TCP 包。 但测试下来发现 ROS L7 Firewall 不支持写 TCP 数据。 所以我最后只能使用中间跳转的方案。

如果不是使用 ROS 的朋友也不用担心，原理和流程已经讲清楚了， 无非是使用 Cisco / Huawei 网络设备的防火墙命令实现需要的功能。

上篇文章发完之后，好几个朋友问我 IP 证书供应商的事情。我就简单说一下我了解的情况。

国内 SSL 证书供应商们会给他们兜售的产品起各种各样花里胡哨的名字， 什么超真、超强、超安、超快，国外有些企业也会搞什么 Pro / Super / Premium / Essential， 其实 SSL 证书的区分，笼统来说就三种类型：DV / OV / EV， Domain Validation / Orgnization Validation / Extented Validation。 他们区别除了字面意思，就是所有权审核流程一个比一个麻烦。

想基于 IP 直接搞所有权审核，要看对应供应商的证书是否支持。 去年年底我做了一个调查，支持 IP 证书的厂家如下：

现在 Wosign 爆了丑闻，于是支持 IP SSL 又少了一家。 只剩下 GlobalSign 了，但是 GlobalSign OV 又贵审核又麻烦， 不知道看到此文的大神们有没有更好的推荐。

参考链接：

原文链接: 🔑 也谈 HTTPS - 如何内测 | Log4D

3a1ff193cee606bd1e2ea554a16353ee

欢迎关注我的微信公众号：窥豹

窥豹