使用Cloudflare代理Rudderstack API遇526证书错误，是否需换CloudFront？

Cloudflare可行配置方案 #

1. 用Cloudflare Worker做请求转发 #

这是最稳妥的方案，能直接避开Host头和SNI不匹配的问题：
创建一个Worker，将api.ourdomain.com的请求转发到api.rudderlabs.com，同时强制修改请求的Host头：

addEventListener('fetch', event => {
  event.respondWith(handleRequest(event.request))
})

async function handleRequest(request) {
  const url = new URL(request.url)
  url.hostname = 'api.rudderlabs.com'
  
  const modifiedRequest = new Request(url, {
    method: request.method,
    headers: new Headers(request.headers),
    body: request.body,
    redirect: 'follow'
  })
  modifiedRequest.headers.set('Host', 'api.rudderlabs.com')
  
  const response = await fetch(modifiedRequest)
  return response
}

之后把api.ourdomain.com的DNS记录设为CNAME指向你的Worker域名（比如xxx.workers.dev），保持Cloudflare代理开启即可。

2. 调整SSL与请求规则 #

• 检查Authenticated Origin Pulls：如果开启了这个选项，上游Rudderstack服务器没有Cloudflare的客户端证书，必然会验证失败，直接关闭该选项尝试。
• 用Transform Rules修改Host头：创建一条HTTP请求转换规则，当请求Host为api.ourdomain.com时，将Host头替换为api.rudderlabs.com。
• 切换到Full模式：虽然Full(Strict)安全性更高，但如果上游证书链存在微小问题，Full模式仅验证证书是否由可信CA颁发，不会严格校验域名匹配，可能绕过526错误。

要不要换CloudFront？ #

如果上述Cloudflare方案均无效，改用CloudFront是符合官方建议的可行路径：

• 创建CloudFront分发，将api.ourdomain.com关联到分发，源站设置为api.rudderlabs.com。
• 通过ACM为api.ourdomain.com申请SSL证书并绑定到CloudFront分发。
• 将api.ourdomain.com的DNS记录修改为CNAME指向CloudFront分发域名，同时关闭Cloudflare的CDN代理（仅保留DNS解析功能即可）。

不过优先建议尝试Cloudflare的方案，毕竟你已在用Cloudflare托管其他服务，无需额外切换到CloudFront增加配置成本。

内容的提问来源于stack exchange，提问作者mazy