Intranet Web 服务器的 SSL 证书

Question

我有兴趣为我的公共域（例如 example.com）购买通配符 SSL 证书，以便我们可以使用公认的 CA（例如 GoDaddy）运行 Intranet Web 服务器。我确实计划公开发布 DNS 名称（例如 internal.example.com），但它们的 IP 地址实际上是 LAN 地址（例如 192...*）。我们想使用公共 DNS，因为这些 Web 服务器实际上可能是在四处移动的开发笔记本电脑，因此我们将使用动态 DNS 来更新。我们的目的是让这些 Web 服务器仅在每个当前运行的 LAN 上可用。

这是否适用于所有客户端，例如 TLS v1.2？

谢谢。

Answer 1

只要客户端可以将他们的流量路由到这些 IP 地址，它就可以工作（当然，否则您将无法获得连接）。

证书验证依赖两点：

• 及时验证证书的真实性、可信性和有效性。

• 验证证书的身份是否与您要查找的内容相匹配（主机名验证）。

这并不取决于DNS解析机制如何。这些机制也与 SSL/TLS 规范正交（尽管它们确实建议验证远程方的身份）。

我已经看到在各种客户端和平台（IE、Chrome、FF、Windows/Linux/Mac 上的 Java 客户端）上使用了这种设置，并且效果很好。

当然，很难保证所有 实现是否都能很好地做到这一点。例如，可能有一些实现认为执行反向 DNS 查找是个好主意。