企业官网建设流程全解析

1. 问题背景与现象描述

最近在配置AWS ALB（Application Load Balancer）的HTTPS监听器时，遇到了一个典型的SSL证书问题：当使用包含裸域名（如example.com）的证书时，客户端访问时出现了证书警告。这个问题在混合使用www子域名（www.example.com）和裸域名的场景下尤为常见。

具体表现为：当用户访问https://example.com时，浏览器提示"此网站的安全证书存在问题"或"此连接不是私密连接"。而访问https://www.example.com则完全正常。查看证书详情会发现，证书中虽然包含了example.com和www.example.com两个主体备用名称（SAN），但浏览器仍然报错。

2. 技术原理深度解析

2.1 裸域名的特殊性质

裸域名（Apex Domain/Naked Domain）是指不带任何子域前缀的域名，如example.com。它与www.example.com在技术实现上有本质区别：

1. DNS解析限制：裸域名只能解析到A记录（IPv4地址）或AAAA记录（IPv6地址），无法直接CNAME到ALB的DNS名称
2. 证书验证机制：浏览器对裸域名的证书验证比子域名更严格
3. 历史兼容性问题：早期SSL证书标准对裸域名的处理存在不一致

2.2 ALB的证书匹配机制

AWS ALB在SSL/TLS握手时，会按照以下顺序匹配证书：

1. 检查证书的Common Name (CN)
2. 检查Subject Alternative Names (SANs)列表
3. 遵循SNI（Server Name Indication）扩展协议

关键点在于：即使证书包含裸域名，如果客户端在SNI扩展中未正确发送主机名，ALB可能返回默认证书而非预期证书。

3. 完整解决方案实施

3.1 证书申请最佳实践

1. 使用ACM（AWS Certificate Manager）申请证书时：

   • 必须同时包含裸域名和www子域名
   • 示例：example.com和www.example.com
   • 建议包含所有可能的变体（如*.example.com）

2. 第三方证书要求：

   Subject: CN=example.com SANs: - DNS Name=example.com - DNS Name=www.example.com

3.2 ALB监听器配置要点

1. 创建HTTPS监听器时：

   • 端口必须为443
   • 选择包含裸域名的证书（ACM或上传的IAM证书）
   • 开启"Security Policy"中的最新TLS策略

2. 路由规则设置：

   # 示例：使用AWS CLI创建监听器 aws elbv2 create-listener \ --load-balancer-arn arn:aws:elasticloadbalancing:region:account-id:loadbalancer/app/alb-name/id \ --protocol HTTPS \ --port 443 \ --certificates CertificateArn=arn:aws:acm:region:account-id:certificate/id \ --ssl-policy ELBSecurityPolicy-TLS13-1-2-2021-06 \ --default-actions Type=forward,TargetGroupArn=arn:aws:elasticloadbalancing:region:account-id:targetgroup/tg-name/id

3.3 DNS解析配置技巧

1. Route 53配置示例：

   • 创建托管区域：example.com
   • 裸域名记录：A记录 → ALIAS指向ALB DNS名称
   • www记录：CNAME指向裸域名或直接ALIAS到ALB

2. 其他DNS服务商：

   • 裸域名使用A记录解析到ALB的IP（不推荐，IP可能变化）
   • 推荐使用DNS服务商的ALIAS/ANAME功能

4. 疑难问题排查指南

4.1 常见错误模式

4.2 诊断工具与方法

1. OpenSSL检查：

   openssl s_client -connect example.com:443 -servername example.com | openssl x509 -noout -text

2. 在线检测工具：

   • SSL Labs测试（https://www.ssllabs.com/ssltest/）
   • Digicert证书检查器

3. AWS自有工具：

   • ACM证书验证状态
   • ALB访问日志分析

4.3 高级调试技巧

1. 使用curl进行SNI测试：

   # 测试裸域名 curl -v -H "Host: example.com" https://ALB-DNS-NAME # 测试www子域名 curl -v -H "Host: www.example.com" https://ALB-DNS-NAME

2. 捕获TLS握手包：

   tcpdump -i any -s 0 -w alb_ssl.pcap port 443

5. 架构优化建议

5.1 多证书策略

对于大型站点，建议：

1. 主证书：包含裸域名+www
2. 通配符证书：*.example.com用于其他子域名
3. 特殊证书：特定子域名使用独立证书

5.2 重定向最佳实践

在ALB层面设置重定向规则：

1. HTTP → HTTPS强制跳转
2. 裸域名 ↔ www子域名统一规范

   aws elbv2 create-rule \ --listener-arn arn:aws:elasticloadbalancing:region:account-id:listener/app/alb-name/id \ --conditions Field=host-header,Values=['example.com'] \ --actions Type=redirect,RedirectConfig='{Protocol=HTTPS,Host=www.example.com,Port=443,Query=#{query},StatusCode=HTTP_301}'

5.3 监控与告警设置

1. CloudWatch监控指标：
   • ClientTLSNegotiationErrorCount
   • TargetTLSNegotiationErrorCount
2. 建议告警阈值：
   • 连续5分钟出现>10次TLS错误即触发

6. 经验总结与避坑指南

在实际运维中，我总结了以下关键经验：

1. 证书申请时必须显式包含裸域名，即使有通配符证书
2. Route 53的ALIAS记录比传统A记录更可靠
3. ALB监听器的证书绑定需要等待完全部署（约2-3分钟）
4. 测试时务必清除本地DNS缓存（ipconfig /flushdns）
5. Chrome浏览器会缓存失败的证书验证结果（chrome://net-internals/#hsts）

一个特别容易忽视的细节是：当使用第三方证书时，证书链的完整性至关重要。曾经遇到过一个案例，因为中间证书缺失导致Android设备报错，而桌面浏览器却正常。这可以通过以下命令验证：

openssl verify -CAfile fullchain.pem your_domain.crt

最后提醒：如果使用CDN（如CloudFront）配合ALB，需要在CDN层面也配置正确的证书，否则可能遇到边缘节点到ALB之间的证书不匹配问题。