📋前置准备

自建 CDN 的系统构成

自建 CDN 通常由三部分组成：边缘节点（运行 Nginx / OpenResty / Varnish + 缓存模块）、调度系统（DNS 智能解析或 Anycast）、源站（你的博客服务器）。你需要自己维护边缘节点的缓存策略、证书和回源配置。

域名与备案

使用国外边缘节点不需要 ICP 备案。DNS 解析托管到 Cloudflare、DNSPod 或自建 DNS 都可以。如果是国内节点，加速域名必须完成 ICP 备案。

证书来源选择

1添加站点 / 加速域名

在自建 CDN 的管理面板中添加站点。不同面板（如 Nginx Proxy Manager、宝塔 CDN 插件、自研面板）叫法不同，核心是配置加速域名和源站地址。

加速域名填什么

建议单独分配一个二级域名承载 CDN 加速，如 cdn.yourdomain.com 或 static.yourdomain.com，主域名留给业务入口。好处是隔离风险，CDN 出问题时不会波及主站。

源站配置

源站是单台服务器填 IP，负载均衡架构填域名更灵活。回源协议初期可选 HTTP，后续改为 HTTPS 实现全链路加密。

2申请 SSL 证书

Let's Encrypt（acme.sh 方案）自建 CDN 首选

安装 acme.sh 一条命令：

curl https://get.acme.sh | sh -s email=你的邮箱@example.com

用 DNS 验证方式签发泛域名证书（以 Cloudflare DNS 为例）：

export CF_Token="你的Cloudflare_API_Token"
export CF_Account_ID="你的Cloudflare_Account_ID"
acme.sh --issue --dns dns_cf -d yourdomain.com -d *.yourdomain.com

证书文件位置：申请成功后，证书在 ~/.acme.sh/yourdomain.com/ 目录下。部署到边缘节点时需要的是：

• fullchain.cer——包含服务器证书和中间证书的完整链
• yourdomain.com.key——私钥文件

自动部署到边缘节点

用 acme.sh 的 --install-cert 钩子，证书续期后自动复制到 Nginx 目录并重载：

acme.sh --install-cert -d yourdomain.com \
  --key-file       /etc/nginx/ssl/yourdomain.com.key \
  --fullchain-file /etc/nginx/ssl/yourdomain.com.fullchain.cer \
  --reloadcmd      "nginx -s reload"

如果有多个边缘节点，可以配合 Ansible / rsync 批量分发证书文件。

ZeroSSL

访问 zerossl.com，输入域名，注册账号后按引导完成验证。支持文件验证、DNS 验证、邮箱验证三种方式。

3配置 CNAME 解析

进入 DNS 解析控制台（Cloudflare、DNSPod 或自建 DNS），添加一条 CNAME 记录：

• 主机记录：加速 cdn.yourdomain.com 就填 cdn；加速主域名填 @
• 记录类型：选择 CNAME
• 记录值：粘贴 CDN 分配的 CNAME 地址
• TTL：保持默认

验证是否生效：

dig cdn.yourdomain.com CNAME +short

4部署 SSL 证书到边缘节点

自建 CDN 没有「一键上传证书」的按钮，你需要手动把证书文件放到每个边缘节点，并在 Nginx / OpenResty 配置中引用。

Nginx 配置示例

server {
    listen 443 ssl http2;
    server_name cdn.yourdomain.com;

    ssl_certificate     /etc/nginx/ssl/yourdomain.com.fullchain.cer;
    ssl_certificate_key /etc/nginx/ssl/yourdomain.com.key;

    ssl_protocols       TLSv1.2 TLSv1.3;
    ssl_ciphers         ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256;
    ssl_prefer_server_ciphers on;
    ssl_session_cache   shared:SSL:10m;
    ssl_session_timeout 10m;

    location / {
        proxy_pass http://源站IP:端口;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
    }
}

最容易踩的坑：证书链不完整

很多「HTTPS 配置看起来成功了，浏览器却报不安全」的问题，根源都在这里。

SSL 证书通常包含服务器证书、中间证书、根证书组成的证书链。如果只配置了服务器证书，浏览器可能无法验证证书来源，Chrome 会直接阻断访问。

验证证书链是否完整：

openssl s_client -connect cdn.yourdomain.com:443 -servername cdn.yourdomain.com

如果输出中 Verify return code 为 0 (ok)，说明链完整。如果是 21 (unable to verify the first certificate)，说明缺中间证书。

5强制跳转 HTTPS

这是最容易忽视但必须配置的一步。

配置 SSL 证书只是让 Nginx 具备处理 HTTPS 请求的能力，不会改变 HTTP 请求的处理方式。HTTP 到 HTTPS 的跳转需要单独配置。

Nginx 配置示例

server {
    listen 80;
    server_name cdn.yourdomain.com;
    return 301 https://$host$request_uri;
}

解决方案（二选一）

• 方案一：关闭源站的 HTTP 强制跳转功能，统一由 CDN 处理跳转
• 方案二：修改 CDN 回源协议为 HTTPS 或 跟随请求协议，避免触发源站跳转

6HSTS 安全访问（进阶，慎开）

HSTS 是什么

HSTS（HTTP Strict Transport Security）是一种安全策略，开启后浏览器会缓存一个响应头，在缓存有效期内自动将所有 HTTP 请求转为 HTTPS，不再经过 HTTP 跳转这一步。

HSTS 与强制跳转的区别

强制跳转是服务端处理：浏览器发 HTTP → 服务器返回 301 → 浏览器再发 HTTPS。第一次 HTTP 请求仍然在网络上传输，有被劫持的风险。

HSTS是浏览器侧处理：浏览器发现请求是 HTTP → 浏览器直接转为 HTTPS 发出。HTTP 请求根本没有出现在网络上，彻底消除降级攻击风险。

Nginx 配置示例

add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;

必须遵守的规则

• 开启 HSTS 前，确保证书配置稳定且自动续期正常工作
• 不要为了测试而随便开启 HSTS
• 如果开启 HSTS 后关闭了 HTTPS 证书，必须同时关闭 HSTS 配置
• 过期时间不要设太长，初期建议 max-age=86400（1 天），确认稳定后再逐步延长到 31536000（1 年）
• 强制跳转类型不能设为 HTTP，否则与 HSTS 冲突，会导致域名无法访问

7缓存刷新与预热

核心概念

刷新（Refresh/Purge）：向 CDN 节点下发缓存失效指令，将已缓存的资源标记为过期。用户再次请求时，CDN 回源获取最新资源并重新缓存。刷新会降低缓存命中率。

预热（Preload/Warm-up）：CDN 节点主动从源站拉取资源并缓存。用户首次请求时可直接从 CDN 获取，无需回源。预热会提高缓存命中率。

什么时候用哪个

自建 CDN 如何实现刷新预热

Nginx 缓存刷新

如果边缘节点用 Nginx 的 proxy_cache，刷新就是删除对应的缓存文件：

# 查找缓存文件
find /var/cache/nginx -type f -name "*yourdomain.com*"

# 删除指定缓存（按 URL 匹配）
grep -rl "cdn.yourdomain.com/article/123" /var/cache/nginx | xargs rm -f

# 重载 Nginx
nginx -s reload

OpenResty / Lua 缓存刷新

如果边缘节点用 OpenResty + lua-resty-cache，可以通过 ngx.shared.DICT 或 Redis 管理缓存键，提供 HTTP API 触发刷新：

# 通过 API 刷新单个 URL
curl -X POST "http://edge-node-01:8080/purge" \
  -d "url=https://cdn.yourdomain.com/article/123"

预热实现

预热本质是主动发起请求让 CDN 回源并缓存。可以用脚本批量发起：

# 批量预热热门文章
for url in $(cat hot-urls.txt); do
  curl -s -o /dev/null -w "%{http_code} %{url_effective}\n" "$url"
done

自动化刷新预热

手动刷新适合低频场景。如果博客更新频繁，可以配置自动化：

• Git Hook 触发：博客部署完成后，通过 webhook 调用刷新 API
• CI/CD 集成：在 GitHub Actions / GitLab CI 中加入刷新步骤
• 定时任务：用 cron 定期预热热门文章
• 对象存储触发：文件上传到 OSS/COS 时自动触发刷新

8验证与排查

验证清单

1. HTTPS 访问：用 https://cdn.yourdomain.com 访问，地址栏显示安全锁
2. 证书信息：点击锁图标，确认 CA 为 Let's Encrypt、在有效期内、域名匹配
3. HTTP 跳转：用 http://cdn.yourdomain.com 访问，应自动跳转到 HTTPS
4. CNAME 生效：dig cdn.yourdomain.com CNAME +short 返回 CDN 地址
5. 混合内容：浏览器控制台无 Mixed Content 警告
6. 缓存验证：更新资源后，刷新 CDN，确认用户能获取最新内容

常见故障速查表

📝小结

完整流程：加域名 → 配 CNAME → 申请证书（Let's Encrypt / ZeroSSL）→ 部署 fullchain → 配强制跳转 → 按需开 HSTS（慎开）→ 建立刷新预热机制。

三个最关键的提醒：

1. 强制跳转与回源协议必须匹配，否则重定向死循环
2. HSTS 开之前确保证书稳定，开了就不好回头
3. 刷新预热按需使用，大批量操作放在流量低峰期