网络与 HTTPS
共 155 篇文章
Cloudflare Flexible 模式下，源站强制 HTTPS 导致重定向循环
HTTPS 地址反复跳转到自身时，检查 Cloudflare 回源模式与源站 HTTP 跳转；按证书条件选择 Full (strict)，或在过渡期调整边缘与源站规则。
Caddy forward_auth 登录循环：Cookie 是否只属于认证域名
认证和应用拆成兄弟域名后登录循环时，核对浏览器的Cookie范围与真实请求。同公开主机路径布局需同步回调契约，父域SSO不能默认扩大。
BIND 改了 allow-transfer 仍报 REFUSED：先确认 chroot 内的实际配置
BIND区域传送持续REFUSED时，核对named的chroot和实际配置入口，按相同根目录校验并加载最小授权，不放宽传送权限。
dig 显示 Truncated, retrying in TCP mode 后超时
DNS 的 UDP 回答被截断后转为 TCP 查询却超时，按同一解析器比较两条路径，确认监听和防火墙后只允许授权客户端的 TCP 53。
Nginx 连接 TCP 后端报 Permission denied：检查 SELinux 拒绝记录
Nginx 连接 TCP 后端报 connect() failed (13: Permission denied)，用同一次请求的 AVC 记录确认 SELinux，核对策略后调整网络连接权限。
HAProxy 无法加载证书：fullchain.pem 不包含私钥
HAProxy 报 unable to load SSL private key，先确认 fullchain 与匹配私钥的加载方式。保留文件权限、链、候选校验及续期部署流程。
Cloudflare 多层子域名报 ERR_SSL_VERSION_OR_CIPHER_MISMATCH：检查边缘证书覆盖
源站已有证书，多层主机名经 Cloudflare 仍握手失败，先核对边缘证书名称范围。区分 Universal SSL 默认覆盖、额外证书能力与临时直连的条件。
Certbot webroot 验证返回 404：确认挑战文件对应哪个站点目录
Certbot webroot验证404时，对齐-w与实际站点挑战路径；区分root、location、容器挂载和域名落点，先测试再处理正式签发与续期配置。
Caddy JSON 配了多个域名却串站：检查 match 数组的 OR 关系
Caddy 原生 JSON 的多域名站点返回同一内容，检查 match 数组的 OR 条件、同集合 AND 关系和 terminal 的位置，再核对实际入口与生效配置。
Nginx 代理 SSE 后消息成批到达，直到连接结束才显示
SSE 直连及时、经过 Nginx 后积压时，按应用输出、事件分隔和代理响应缓冲逐层定位；只调整事件流端点，并区分请求缓冲与空闲超时。
通配符证书报 http-01 not supported：改认证方式，不是改网站端口
通配符证书授权只提供 DNS-01，HTTP-01 无法满足要求。核对申请范围、真正的 DNS 认证器及权威 TXT，安排自动续期和证书部署。
Certbot HTTP-01 验证收到其他站点的内容
Certbot 验证文件返回另一个网站的 HTML，IPv4 访问却正常。比较有效挑战在 IPv4、IPv6 上的响应，核对 AAAA 和 Nginx 监听及虚拟主机，并用 staging 续期确认修复。
curl 指定 IP 并设置 Host 后，HTTPS 仍提示证书名不匹配
HTTPS 请求 URL 使用 IP 时，修改 Host 不能改变证书验证名称；保留业务域名，用 --resolve 指定源站连接地址。
HAProxy CPU 很低却连接超时：检查每秒连接上限 maxconnrate
HAProxy 资源占用很低仍连接超时，核对 maxconnrate 接入速率限制与实际 Runtime API 指标，按容量有范围调整，不用请求数代替连接速率。
Nginx 把 default.save 备份加载后报 duplicate default server
sites-enabled/* 会把 default.save 等备份一起加载，导致同一地址、端口重复声明默认站点。核对 include 和文件内容，将多余副本移出加载范围，再测试与重载。
Nginx 跨域请求报 Access-Control-Allow-Origin contains multiple values
PHP 或 HTTP 上游与 Nginx 同时添加允许来源头时，浏览器会拒绝跨域响应。确认重复所在的响应，统一策略归属，并按 FastCGI 或 HTTP 转发协议处理上游头。
curl 通过代理访问 HTTPS 报 wrong version number：检查代理协议
curl 经代理访问 HTTPS 报 wrong version number，先区分代理 TLS 与目标 TLS，确认普通 HTTP 代理后使用正确协议与端口。
应用页面能打开，WebSocket 经 Nginx 返回 400：检查升级请求头
普通页面能访问，WebSocket 经 Nginx 握手返回 400，检查实际代理位置、Upgrade 与 Connection 透传及头配置继承，再按握手结果验收。
SSH -R 指定其他回环地址后仍监听 127.0.0.1
客户端请求 -R 127.0.2.3:23000:127.0.0.1:8080，远端却只在 127.0.0.1:23000 上监听。SSH 已经登录，转发也能通过默认回环地址访问，但不能按预期用多个回环地址区分同一端口。
Nginx 多个站点重复 include 后报 duplicate upstream
多个 Nginx 站点重复 include 完整 upstream 块，会触发 duplicate upstream。核对加载入口，在 http 中只定义一次后端组，再由各站点引用。