← Poskytovatel Cloudflare Terraform / terraform / tutorial

3: Konfigurace nastavení HTTPS

Po nastavení základních záznamů DNS můžete pomocí Terraformu nakonfigurovat nastavení zóny. Tento návod ukazuje, jak povolit TLS 1.3, Automatic HTTPS Rewrites, a Režim Strict SSL pomocí aktualizovaného poskytovatele v5.

Předpoklady

Dokončené návody 1 a 2
Platný certifikát SSL na vašem origin serveru (použijte Cloudflare Origin CA a vygenerujte certifikát pro režim strict SSL)

1. Vytvořte konfiguraci nastavení zóny

Vytvořte novou větev a přidejte nastavení zóny:

git checkout -b step3-zone-settings

Přidejte následující do svého main.tf soubor:

# Enable TLS 1.3
resource "cloudflare_zone_setting" "tls_1_3" {
  zone_id    = var.zone_id
  setting_id = "tls_1_3"
  value      = "on"
}

# Enable automatic HTTPS rewrites
resource "cloudflare_zone_setting" "automatic_https_rewrites" {
  zone_id    = var.zone_id
  setting_id = "automatic_https_rewrites"
  value      = "on"
}

# Set SSL mode to strict
resource "cloudflare_zone_setting" "ssl" {
  zone_id    = var.zone_id
  setting_id = "ssl"
  value      = "strict"
}

2. Zobrazte náhled a použijte změny

Zkontrolujte navrhované změny:

terraform plan

Očekávaný výstup

Plan: 3 to add, 0 to change, 0 to destroy.

Terraform will perform the following actions:

  # cloudflare_zone_setting.automatic_https_rewrites will be created
  + resource "cloudflare_zone_setting" "automatic_https_rewrites" {
      + setting_id = "automatic_https_rewrites"
      + value      = "on"
      + zone_id    = "your-zone-id"
    }

  # cloudflare_zone_setting.ssl will be created
  + resource "cloudflare_zone_setting" "ssl" {
      + setting_id = "ssl"
      + value      = "strict"
      + zone_id    = "your-zone-id"
    }

  # cloudflare_zone_setting.tls_1_3 will be created
  + resource "cloudflare_zone_setting" "tls_1_3" {
      + setting_id = "tls_1_3"
      + value      = "on"
      + zone_id    = "your-zone-id"
    }

Proveďte commit a sloučení změn:

git add main.tf
git commit -m "Step 3 - Enable TLS 1.3, automatic HTTPS rewrites, and strict SSL"
git checkout main
git merge step3-zone-settings
git push

Před použitím změn zkuste navázat spojení pomocí TLS 1.3. S výchozím nastavením by to technicky nemělo být možné. Abyste mohli tento test provést, budete potřebovat zkompilovat curl proti BoringSSL ↗.

curl -v --tlsv1.3 https://www.example.com 2>&1 | grep "SSL connection\|error"

Jak je uvedeno výše, měli byste obdržet chybu, protože TLS 1.3 zatím není ve vaší zóně povoleno. Povolte ho spuštěním terraform apply a zkuste to znovu.

Použijte konfiguraci:

terraform apply

Typ yes po zobrazení výzvy.

3. Ověřte nastavení

Zkuste stejný příkaz jako předtím. Nyní se provede úspěšně.

curl -v --tlsv1.3 https://www.example.com 2>&1 | grep "SSL connection\|error"