Caddy ECH完整指南如何止住TLS握手中的域名泄露【免费下载链接】caddyFast and extensible multi-platform HTTP/1-2-3 web server with automatic HTTPS项目地址: https://gitcode.com/GitHub_Trending/ca/caddyCaddy 的 ECHEncrypted Client Hello加密客户端问候功能让你访问网站时的真实域名不再以明文出现在TLS握手里网络观察者只能看到一个共享的外层名。它和 Caddy 自动HTTPS配合全局选项里写两行配置服务器就会自行生成密钥、定期轮换并把配置发布到DNS。️先看哪些域名在裸奔传统TLS中你访问的域名SNI即连接时递出去的域名名片是明文发送的。内容加密了但观察者照样知道你去哪个站。启用 ECH 后真正的握手信息被加密包在一个通用的外层名里中间人看到的只剩这个大家共用的名字而非你的真实站点。最小配置怎么配在Caddyfile顶部全局选项里加入以下内容cloudflare为DNS提供商名以你使用的构建为准{ ech shared.example.com { dns cloudflare { api_token {env.CF_TOKEN} } } }shared.example.com是外层公共名Caddy 会自动为它申请证书无需你操心。下方dns块指定用哪个DNS提供商发布配置其余站点配置保持原样即可。密钥与证书如何被自动打理加载配置后生成、轮换、发布全程不需要你手工操作核心逻辑在modules/caddytls/ech.go。三个组件各司其职ECHConfiguration你只填一个 public_nameCaddy 自动生成X25519密钥对存入ech/configs/持久化存储。ECHPublication声明把配置发布到哪里默认覆盖TLS模块登记的所有站点域名写入HTTPS/SVCB DNS记录。ECHDNSPublisher具体执行DNS写入把Base64编码的ECH配置放进域名的HTTPS记录的ech参数里。密钥生命周期首次启动生成并入库后台任务每小时检查一次密钥满30天即生成新的并标记旧键已替换满90天彻底删除。多实例集群通过同一存储锁同步不会重复轮换。还有个隐式行为外层名会被自动加入证书自动管理清单客户端首连因此不会退回明文SNI。不同规模怎么开个人与博客一两个域名直接共用一个公共名匿名集够用。需要含DNS提供商模块的自定义构建官方发行包默认不带。小型团队所有子域共用一个外层名保护的域名越多效果越好。CNAME域名会被跳过发布这类域名建议改用A记录。企业与多域名可在 publication 里配置多个发行块不同域名组分配不同外层名和DNS提供商。使用On-Demand TLS时动态域名需在发行块中显式列出否则首连会明文泄露。开之前核对的三件事确认构建包含DNS提供商没有提供商模块ech 指令不会生效这是最常见的配了没反应。确认客户端走DoH/DoT浏览器一般只从HTTPS DNS记录读ECH配置普通DNS下配置本身也会泄露可用日志里的 successfully published ECH configuration list 验证发布是否成功。别建太多公共名每多一个外层名就稀释一次匿名集一台服务器默认一个即可另外ECH要求TLS 1.3Caddy会自动把最低协议版本顶上去。ECH高频问答会不会拖慢请求几乎无感握手多一层加解密但只在建连时发生一次现代硬件开销可忽略。为什么客户端没用上ECH查两处域名是否已有HTTPS DNS记录、客户端是否启用DoH/DoT。任一不满足时浏览器回退普通SNI连接网站仍然可用。需要手工换密钥吗不用。30天自动轮换、90天自动删除过渡期新旧密钥并存还没拿到新配置的客户端也能正常连接。反代或静态站能用吗能。ECH作用在TLS层与站点背后是反代、静态文件还是应用无关。目前 Caddy 的 ECH 仍标注为实验特性字段结构后续版本可能微调。随着DNS记录标准落地和浏览器支持趋于稳定SNI保护正在变成HTTPS的标配环节。如果你有域名和DNS API权限上面的配置今晚就能开起来。【免费下载链接】caddyFast and extensible multi-platform HTTP/1-2-3 web server with automatic HTTPS项目地址: https://gitcode.com/GitHub_Trending/ca/caddy创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考