ERR_TOO_MANY_REDIRECTS hinter einem CDN: die zwei Einstellungen, die zusammen eine Schleife bilden.

Den CDN-Proxy vor einem Origin einzuschalten, der HTTPS erzwingt, genügt, um die Schleife zu starten. Beide Einstellungen sind vernünftig, und keine von beiden macht für sich allein etwas kaputt. Eine Einstellung umzuschalten und von einem Weg aus zu testen, der das CDN umgeht, sieht nach einer Lösung aus, während jeder echte Besucher weiter in der Schleife hängt.

Der Mechanismus: zwei Enden, eine Schleife

Der SSL-Modus des CDN stand auf "Flexible": Der Browser spricht HTTPS mit dem CDN, aber das CDN spricht einfaches HTTP mit dem Origin. Für sich allein eine vertretbare Einstellung. Viele Origins liefern HTTP hinter einem CDN aus, das TLS terminiert.

Der Edge des Origins wiederum leitete jede HTTP-Anfrage zwangsweise auf HTTPS um, ohne den Proxy zu kennen: Er gab den Redirect aus, ohne den Header zu prüfen, der besagt, dass diese Anfrage an der Eingangstür bereits HTTPS war. Also ruft das CDN über HTTP ab, der Origin antwortet «geh zu HTTPS», die nächste Anfrage des Browsers erreicht das CDN als HTTPS, das CDN ruft den Origin wieder über HTTP ab, und der Origin leitet erneut um. Unendlich, konstruktionsbedingt. Flexible allein ist in Ordnung. Der erzwungene Redirect allein ist in Ordnung. Nur die beiden zusammen bilden eine Schleife.

Der Fehler, der nichts protokollierte

Wenn die Schicht, die den Redirect beantwortet, Routineanfragen nicht protokolliert, hinterlässt die Schleife nichts im Access-Log. Die Stille sieht aus, als wäre gar kein Verkehr angekommen, und die Untersuchung geht überallhin, nur nicht an die richtige Stelle. Die Regel: Wenn ein Fehler keine Logs hinterlässt, hören Sie auf, der Stille nachzujagen, und reproduzieren Sie den Mechanismus.

Reproduzieren Sie den Mechanismus

$ curl -I -H 'X-Forwarded-Proto: https' http://origin.example/
HTTP/1.1 301 Moved Permanently
Location: https://origin.example/
# told the origin the request was already HTTPS. it redirects anyway.

Eine Anfrage reproduziert die Schleife, auf dem Weg, den Besucher nehmen. Ein Test von jedem anderen Weg aus geht durch und beweist nichts.

Beheben Sie beide Enden

Nur ein Ende einer Inkompatibilität mit zwei Enden zu beheben, lässt eine «scharf geschaltete» Konfiguration auf die nächste Änderung warten. Schließen Sie beide Enden, und es bleibt keine Kombination übrig, die kreist: das CDN pausieren, das CDN wechseln, den Origin ändern, und die Schleife hat keinen Ort mehr, an dem sie sich neu bilden könnte.

“Keines der beiden Enden war kaputt. Die beiden zusammen waren es.”