转入cdn直播怎么办对域名证书和鉴权配置的详细检查清单

1. 检查域名解析与CNAME指向

- 验证直播域名（例 live.example.com）是否已在DNS中做CNAME指向CDN提供商给的域名；使用命令：nslookup live.example.com 或 dig CNAME live.example.com。 - 如果是顶级域（裸域），确认是否使用了ALIAS/ANAME或把www做CNAME并用301跳转；记录TTL便于切换后快速回滚。

2. 确认证书类型与覆盖范围

- 确认CDN是否提供托管证书（自动）或需要上传自有证书。若自有证书，检查证书的Common Name(CN)或SAN是否包含直播域名（wildcard *.example.com可覆盖多子域）。 - 确认证书有效期、颁发机构、中间证书是否齐全；用openssl s_client -connect live.example.com:443 -servername live.example.com查看证书链。

3. 生成CSR与私钥上传步骤（自有证书场景）

- 在安全主机上生成2048/3072位私钥：openssl genpkey -algorithm RSA -out live.key -pkeyopt rsa_keygen_bits:2048。 - 生成CSR：openssl req -new -key live.key -out live.csr，填写CN为直播域名并在SAN里添加必要域名。 - 在CA获取证书后，按CDN控制台要求上传：通常需要PEM格式的证书文件和私钥，并上传中间CA链（cert + intermediates）。保存上传记录与证书ID。

4. TLS配置与兼容性检查

- 在CDN控制台设置TLS版本（建议启用 TLS1.2+, 关闭 SSLv3/TLS1.0）与推荐加密套件。开启OCSP stapling可减少证书验证延迟。 - 用openssl s_client和在线检测（如SSL Labs）检测：支持的协议、套件、证书链是否完整、是否启用SNI、是否存在过期或不被信任的链。

5. 配置Origin与回源鉴权（Origin Pull）

- 若CDN从你的源站拉流（回源）需确保源站启用HTTPS并使用与域名匹配的证书，或在CDN设置中关闭证书校验（不推荐）。 - 推荐方式：在源站配置IP白名单（仅允许CDN回源IP）、或者在回源请求中要求Header鉴权（如X-Secret-Token），并在CDN控制台填写同样的回源鉴权信息。

6. 前端播放鉴权（推流/拉流鉴权）配置步骤

- 推流鉴权：若使用推流密钥（stream key）或URL签名（HMAC-SHA256），生成密钥并在推流端（OBS/FFmpeg）配置。示例：签名参数包含 app、stream、ts、nonce、sign = HMAC(secret, path|ts|nonce)。 - 拉流鉴权（播放端）：配置CDN的URL鉴权或Token鉴权模块，设置过期时间、防重放（nonce或序列号）、允许的时间偏差；同时在客户端SDK中实现拼接签名逻辑并测试有效/过期/篡改的场景。

7. 常见排错与验证步骤（问：域名证书上云后无法验证怎么办？）

问：上传证书后浏览器或工具仍提示证书链错误，如何排查？

答：先用openssl s_client -showcerts检查服务器返回的证书链是否包含中间CA；若缺失，把中间证书按从服务器到根的顺序合并在一个文件并重新上传；另外确认SNI是否正确（多域共享IP时需启用SNI）。

8. 鉴权故障排查（问：播放提示鉴权失败如何定位？）

问：播放端提示鉴权失败，如何快速定位是CDN配置还是签名算法问题？

答：首先用无鉴权的测试播放地址确认CDN转发/域名解析正常；然后在服务端生成一个已知有效的签名URL，用curl访问查看响应码。若状态码400/401，查看CDN日志或打开回源请求记录；确认时间同步（NTP）以免ts偏差导致过期判断。

9. 上线前的最终检查清单（问：切换到CDN直播上线前必须做哪些最后核对？）

问：上线前有哪些必须做的核对项目以避免中断？

答：核对DNS生效且CNAME指向正确、证书已生效并链完整、回源鉴权与IP白名单正确、推流与拉流的签名逻辑通过测试、TLS版本与Ciphers符合要求、开启监控与日志（错误率/延迟）并准备回滚计划（DNS回指或切换回源直连）。