静态 IP 地址、ssl 证书和万恶之源答案

【问题标题】：static IP address, ssl certificate, and the root of all evil静态 IP 地址、ssl 证书和万恶之源
【发布时间】：2023-03-24 10:47:01
【问题描述】：

我有一个问题，我害怕答案。

我有：顶级域名（来自新西兰领土托克劳，.tk，还有其他地方吗？），来自 startSSL.com 的免费 2 年 ssl 证书，免费托管包。

现在我完成了 startSSL 想要的每一个环节（诚然并不太难），以获得我的 2 年 ssl 证书，但现在我担心我遇到了可能仍会阻碍我的计划的最后一道成功障碍。我梦想有一个角落证书，上面写着“由 startSSL 保护”。我得到了代码 sn-p 和所有内容，并将其粘贴到我的网站上。

问题。我的主人不太热衷于让我使用 ssl 的免费包。据我所知，您需要访问一些配置文件才能允许这种情况发生？或者您可以使用 .htaccess 和 .htpassword 文件在您的虚拟主机上进行设置吗？

您还需要一个静态 IP。有什么解决方法吗？

还是我在做梦？有人给点建议吗？

【问题讨论】：

标签： apache ssl ip

【解决方案1】：

SSL 需要一些文件和配置更改，指向这些文件。

此外，静态 IP 是必需的，因为对于加密请求，如果不解密，就无法知道请求的目标主机是什么。使用静态 IP 地址为该请求提供了目的地。

澄清一下：当使用虚拟主机时，多个主机会共享同一个IP地址，所以当请求进来时，前两行是：

GET /path/to/resource HTTP/1.1
Host: www.example.com

Apache（或任何 Web 服务器）查看“主机”字段以确定如何路由请求。如果请求是加密的，则无法确定如何路由请求，您需要知道使用什么证书来解密它。

【讨论】：

无论客户端是否使用 SSL，在任何 HTTP 请求离开客户端之前，目的地（即服务器的 IP）都是已知的。
我想我没有澄清我所做的假设，即站点是作为虚拟主机托管的，所以当它进来时，它不知道请求属于哪个虚拟主机直到它解密请求。在这种情况下，static IP 一词毫无意义，除非他们使用虚拟主机。
酷，感谢您的澄清。作为参考，现代浏览器和服务器确实/实际上可以解决您使用 SNI 描述的问题，但这肯定需要网络空间提供商的合作。
是的，我要提到SNI，但它需要客户端浏览器兼容性（实际上相当好），以及服务器上的配置。坦率地说，我记不起那么多了。

【解决方案2】：

算了。如果您的主机没有配置 SSL，那么没有他们的帮助您就无法添加它

【讨论】：

【解决方案3】：

您建议的设置存在两个问题。

【讨论】：

为什么需要静态 IP，或者与 SSL 设置有什么关系？
我的假设是免费主机被托管为“虚拟主机”；这意味着到服务器的入站请求需要一个静态 IP，以便知道将请求定向到哪个“虚拟主机”，直到它解密请求。
一个好奇心：所以没有主机或服务器可以动态地将证书所属的 IP 地址转移给谁，是一种选择那个选项吗？
@John：假设您在 IP 1.2.3.4 上运行免费托管服务。假设您有 10 台运行 SSL 的虚拟主机和 50 台在这个 IP 上运行不安全服务。现在您收到一个发往 1.2.3.4:443 的 TCP SYN 数据包。您将其交付给哪个虚拟主机？
根据我上面的 cmets，SNI 是现代服务器解决此问题的方法。 Apache 对所有基于名称的虚拟主机使用 SNI；其他服务器可能需要更多设置。

【解决方案4】：

从网络服务器的角度来看，SSL 证书是关于端口和 IP 地址的，即使与基于名称的虚拟主机一起使用也是如此。

SSL 是关于与 URL/请求中的证书和域匹配的 IP（以验证证书）。

您必须在网络服务器上为第二个 SSL 证书提供不同的端口或不同的 IP 地址。

或者，您还可以获得多域和通配符证书，允许不同的主机名或域将证书与不同的客户端请求 URL 匹配，但证书仍然是网络服务器的该端口/IP 上的唯一内容。

只是我的 $.02

【讨论】：