← Cloudflare for Platforms / cloudflare-for-platforms / cloudflare-for-saas / reference

Прекращение поддержки: версия 1

Первая версия SSL for SaaS будет прекращена 1 сентября 2021 года.

В SSL for SaaS v1 трафик для Custom Hostnames проксируется на origin-сервер на основе IP-адресов, назначенных зоне с включённым SSL for SaaS. Такая маршрутизация на основе IP усложняла процесс и не позволяла клиентам вносить изменения без простоя.

SSL for SaaS v2 убирает маршрутизацию на основе IP-адресов и связанные с ней проблемы. Вместо этого трафик проксируется на origin-сервер на основе пользовательского имени хоста зоны SaaS. Это означает, что Custom Hostnames теперь должны будут проходить проверка имени хоста шаг после создания Custom Hostname, дополнительный к проверке SSL сертификата. Это добавляет по сравнению с SSL for SaaS v1 ещё один уровень защиты, поскольку гарантирует, что через прокси к вашему origin попадают только проверенные хостнеймы.

Чтобы избежать сбоев в работе вашего сервиса, для каждого нового Custom Hostname нужно выполнять дополнительную проверку владения. Есть три способа подтвердить владение: TXT, HTTP и CNAME. Методы TXT и HTTP используются для предварительной проверки Custom Hostname ещё до того, как трафик начнёт проксироваться через периферийную сеть Cloudflare.

Используя TXT или HTTP способ проверки помогает избежать простоя во время миграции. Если вы решите использовать проверка CNAME, ваш домен может отставать по своим график отсрочек.

При создании Custom Hostname методом TXT через API, предоставляется TXT-запись ownership_verification, которую ваш клиент добавляет в свою DNS для проверки владения. После добавления TXT-записи Custom Hostname будет помечен как Активно в приложении Cloudflare SSL/TLS на вкладке Custom Hostnames.

При создании Custom Hostname методом HTTP через API, предоставляется HTTP-токен ownership_verification. Проверку через HTTP используют в основном организации с большим количеством уже развёрнутых пользовательских доменов с поддержкой HTTPS. Обслуживание HTTP-токена с вашего origin-веб-сервера позволяет проверить имя хоста ещё до того, как Cloudflare начнёт проксировать трафик домена.

Cloudflare отправляет запросы GET на http_url с помощью User-Agent: Cloudflare Custom Hostname Verification.

Если вы подтвердили имя хоста, трафик которого не проксируется через Cloudflare, Custom Hostname получит статус Активно в приложении Cloudflare SSL/TLS, когда HTTP-токен пройдёт проверку (в разделе Custom Hostnames вкладку).

Если ваше имя хоста уже проксирует трафик через Cloudflare, одной проверки HTTP недостаточно: имя хоста станет активным только после завершения проверки на основе DNS.

Хотя вы можете использовать проверка CNAME, мы рекомендуем либо использовать TXT или HTTP способ проверки.

Custom Hostname также можно проверить, если Cloudflare обнаружит, что он представляет собой запись CNAME, указывающую на запасную запись, настроенную для домена SSL for SaaS. Хотя это самый простой способ проверки, он повышает риск ошибок: поскольку запись CNAME также направляет трафик на периферийную сеть Cloudflare, трафик может достичь нашей периферийной сети раньше, чем завершится проверка Custom Hostname или будет выпущен SSL-сертификат.

Как только вы протестируете и добавите шаг проверки имени хоста в процесс создания Custom Hostname, обратитесь в свою account team, чтобы назначить дату миграции зон SSL for SaaS v1. Account team поможет вам проверить существующие Custom Hostname без простоя.

Как адреса BYOIP, так и IP-адреса, настроенные для Apex Proxying, позволяют успешно завершить проверку имени хоста, если целью DNS-записи типа A для пользовательского имени хоста указан адрес BYOIP или IP-адрес Apex Proxy.

SSL for SaaS v2 функционально эквивалентен SSL for SaaS v1, но снимает требование использовать определённые anycast IP-адреса на периферийной сети Cloudflare и продукт Cloudflare Universal SSL вместе с зоной SSL for SaaS.

Как только миграция для ваших зон запустится, Cloudflare потребует, чтобы каждый Custom Hostname прошёл проверку имени хоста. Существующие Custom Hostname, которые проксируются в Cloudflare через DNS-запись CNAME, автоматически пройдут повторную проверку и без простоя перейдут на новую версию. Любой Custom Hostname, созданный после начала миграции, должен будет пройти проверку имени хоста одним из способов проверки, упомянутых выше.

Перед миграцией вам следует:

1. Чтобы протестировать методы проверки, настройте тестовую зону и попросите свою account team включить SSL for SaaS v2.
2. Дождитесь, пока ваша account team запустит наш инструмент подготовки к миграции. Он распределит ваши имена хостов по одному из следующих статусов:
   • test_pending: Проверяется, либо проверка не удалась и имя хоста повторно поставлено в очередь на проверку. Пользовательское имя хоста может быть повторно поставлено в очередь не более 25 раз, прежде чем перейдёт в статус test_failed статус.
   • test_active: Проверка CNAME пройдена
   • test_active_apex: Проверка Apex Proxy пройдена
   • test_blocked: Имя хоста будет заблокировано на время миграции, поскольку оно принадлежит заблокированной зоне. Чтобы проверить заблокированные пользовательские имена хостов и продолжить миграцию, обратитесь в свою account team.
   • test_failed: Проверка имени хоста не пройдена 25 раз
3. Ознакомьтесь с результатами работы нашего инструмента предварительной миграции (который запускает ваша account team) одним из следующих способов:
   • Через API: https://api.cloudflare.com/client/v4/zones/{zone_tag}/custom_hostnames?hostname_status={status}
   • Через CSV-файл (предоставленный вашей account team)
   • Через дашборд Cloudflare:
4. Подтвердите миграцию. Команда по работе с вашим аккаунтом согласует с вами окно миграции для каждой из ваших зон SSL for SaaS.

После того как миграция начнётся и пройдёт какое-то время, Cloudflare сформирует список Custom Hostnames, которые не удалось мигрировать, и запросит у вас подтверждение для завершения миграции. Когда вы подтвердите, миграция завершится, SSL for SaaS v1 будет отключён для этой зоны, а любой Custom Hostname, для которого не завершена проверка имени хоста, перестанет работать.

Сроки миграции зависят от количества Custom Hostnames. Например, если в зоне менее 10 000 Custom Hostnames, список можно сформировать примерно через час после начала миграции. Если же зона содержит миллионы Custom Hostnames, для выявления экземпляров, миграция которых не удалась, может потребоваться до 24 часов.

Когда ваша account team запросит у вас подтверждение для завершения миграции, отвечайте, пожалуйста, своевременно. У вас будет две недели чтобы проверить все оставшиеся Custom Hostnames, прежде чем они будут планово удалены.

Процесс миграции начинается 31 марта 2021 года и продлится вплоть до окончательного прекращения поддержки 1 сентября 2021 года.

Если вы хотите начать процесс миграции до 31 марта 2021 года, обратитесь в свою account team, и она поможет ускорить процесс. В противном случае account team сама свяжется с вами и предложит время для окна миграции, чтобы ваши зоны были перенесены до September 1, 2021 дату окончания срока поддержки.

Если у вас есть вопросы, обратитесь в свою account team или [email protected].