Origin CA Auto-renew 後爆 Error 526，Cloudflare Authenticated Origin Pulls 要怎麼同步更新？

Question

Origin CA Auto-renew 後爆 Error 526，Cloudflare Authenticated Origin Pulls 要怎麼同步更新？

Yiplok Keung 40

各位哥/姐好，

我們家 Enterprise App 的 Origin 伺服器剛剛走憑證自動更新（Auto-renew）重新簽了一張 CA，結果前級 Cloudflare 直接噴 Error 526: Invalid SSL certificate。

當前排查狀況：

Cloudflare 邊界的 SSL/TLS 設定是開 Full (Strict)。

檢查過 Origin 端的 Web server（Nginx），確定全新的 Origin Certificate / Private Key 已經有給對且服務已經 Reload 過了。

懷疑是前段有啟用 Authenticated Origin Pulls (mTLS)，導致 Cloudflare 拿舊的 Client Cert 去手握（Handshake）直接被 Origin 退回，或是 Cloudflare 側的 Trust Store 沒有同步更新到。

請教一下大家，在 Cloudflare 上要怎麼正確 Update / Sync 這個 Trusted Origin Pull 設定？是要透過 Cloudflare API 把全新的 Origin CA Root/Intermediate 乾淨地 Upload 到 Zone-level custom CA，還是有什麼 Terraform / Dashboard 操作步驟是我漏掉的？

拜託經驗豐富的大佬指點，感謝！

0 則留言

2 個回答

您的回答

Answer 1

您好，

根据您的描述，目前的行为显示，问题更可能与凭证信任验证（certificate trust validation）有关，而不是 Cloudflare 仍在使用旧的 Authenticated Origin Pull 客户端凭证。在大多数情况下，Cloudflare 所提供的 Authenticated Origin Pull 凭证本身不会变更，而 Origin 服务器需要负责信任 Cloudflare 的客户端凭证链。

如果您最近更新或重新签发了 Origin CA 凭证，我建议先确认完整的凭证链（包括任何必要的中继凭证）是否已正确安装在 Origin 服务器上，并确认 Nginx 在 TLS Handshake 期间是否会提供完整的凭证链。

此外，如果您使用的是 Zone-level Authenticated Origin Pulls 搭配 Custom Origin Trust Store，请确认 Origin 端所设定的受信任 CA Bundle，仍與 Cloudflare 提供的憑證鏈相符。

一个有效的疑难排解步骤，是暂时停用受影响 Zone 的 Authenticated Origin Pulls，然后测试 Error 526 是否仍然出现。如果停用后错误消失，则可以进一步确认问题与 mTLS 验证有关，而不是 Origin 凭证本身。

同时，我也建议在 TLS Handshake 过程中检查 Nginx Error Log，因为日志通常可以协助确认连线是否因为以下原因遭到拒绝：

不受信任的客户端证书
凭证链不完整
凭证验证失败

根据您目前描述的情况，只有在使用明确依赖这些凭证的自订信任设定时，才通常需要将新更新的 Origin CA Root 或 Intermediate Certificate 上传至 Cloudflare。否则，目前应优先检查 Cloudflare 与 Origin 之间的信任关系，以及 TLS Handshake 过程中所提供的完整凭证链。

希望以上资讯能协助您进一步定位问题。如果您觉得这个回答有帮助，请点击 「Accept Answer」，让其他社群成员也能从这个解决方案中受益。

杰森

Answer 2

Jason Nguyen Tran 29,785 獨立顧問

我想跟進確認一下，您的問題是否已經解決。如果您還需要更多資訊，歡迎隨時回覆。如果上述資訊對您有所幫助，歡迎點擊「Accept Answer」，幫助社群中的其他使用者找到解決方案。謝謝！

0 則留言