問題描述

TLS協(xié)議擴展SNI(服務器名稱標識)字段為空,是否意味一個IP上只有一個網(wǎng)站,而不是托管了多個網(wǎng)站?

答案是肯定的。SNI字段為空，意味著服務器是獨占的，只為一個網(wǎng)站提供一對一服務。

HTTP

一個托管服務器（Host Server），如果托管的是明文的http服務，僅僅依靠Http Header里的hostname, domain這些字段，就可以分辨出客戶端想要連接哪個網(wǎng)站，從而將客戶端請求的網(wǎng)頁返還給客戶端。

HTTPS

為何Https就不能像Http那樣呢？為何需要一個全新的SNI字段來分辨誰才是真正的目的服務器？

因為客戶端與托管服務器在建立TCP連接之后，緊接著進行的是TLS安全握手，此時壓根沒有http什么事。

安全握手最關(guān)鍵的一步，是托管服務器將特定客戶服務器的證書推送給客戶端，以方便客戶端來驗證服務器是否合法。

但是，托管服務器上可能有成百上千的客戶證書，如果客戶端不給點提示，托管服務器如何知道挑選哪個證書推送給客戶端？

SNI （Server Name Indication）

有了SNI字段就簡單了，里面填入了目標服務器域名，然后托管服務器就可以根據(jù)SNI字段信息做為索引，查詢數(shù)字證書數(shù)據(jù)庫，提取出對應的證書。在Server Hello報文里以“Certificate”消息推送給客戶端，客戶端驗證成功，最后雙方協(xié)商了一個安全的TLS加密隧道，就可以將明文的Http報文扔到TLS隧道里。

很顯然SNI字段位于TLS協(xié)議頭里，并以明文的方式呈現(xiàn)。SNI字段填入的信息，由客戶端從http里協(xié)議頭里提取，并賦值給SNI。

托管服務器上存有目標服務器的證書私鑰嗎？

對于理論扎實的讀者，即使沒有部署過托管服務，也可以憑邏輯推理就可以知道，而完全不需要求助于別人。

密鑰分發(fā)階段，如果使用到RSA公鑰加密“Pre-Master Secret”，托管服務器需要使用私鑰才能解密并獲得明文的“Pre-Master Secret”，必須擁有明文的私鑰。握手連接時，凡是需要私鑰簽名的部分，同樣需要私鑰。

為了便利地完成這些任務，托管服務器通常都擁有目標服務器的私鑰。

托管服務器是怎樣的存在？

逆向代理，即代理目標服務器與客戶端通信，這個逆向代理，代理的是HTTPS安全通信。

代理服務器與目標服務器之間的通信，同樣也使用HTTPS來完成，此時代理服務器就是客戶端，而目標服務器是服務器。

有讀者可能會不解地問，既然代理服務器所有的數(shù)據(jù)都來源于目標服務器，那它有什么樣的存在價值呢？

代理服務器會將一切可以緩存的靜態(tài)頁面，緩存在本地，只要這些靜態(tài)內(nèi)容沒有過期，可以直接返回客戶端，這樣就可以大大減少用戶的等待時間，同時減少對目標服務器的重復性內(nèi)容的騷擾。

本文鏈接：http://51huadong.com/cloundnews/11003423.html