保护便携式 Intranet 上的通信（更改 IP 地址）

Question

我有以下场景：

1. 将在 Windows 基础架构上设置网络
2. 将在该网络上放置一个网站 - 该网站没有提供域名，并且在 Internet 上不可用。只能通过内部识别的 IP 地址对其进行寻址。
3. 该网络中的一个软件将与网站通信 （我们希望避免使用自签名证书发现“无法建立信任关系issue”，而不会降低安全性，我相信，公认的答案确实如此）。
4. 还可以在平板电脑和 PC 上查看该网站。
5. 几天后，该服务将被放到不同的网络上（使用不同的 IP）。
6. 它将安装在许多 PC/网络上。

我想通过 SSL 来保护它，但在2015 update 不允许 IP 地址拥有证书之后似乎很棘手。

此post 建议通过公共 IP，但该解决方案可能在无法访问互联网的区域完全脱机。

我花了几个小时研究，但似乎遗漏了一些东西。

请问这个应该怎么做？

Answer 1

我会设置一个带有 app.local 域的 DNS 服务器，该域会获得颁发证书。

即使您在 TLS 握手中提供了中间证书（您应该始终这样做，而不是依赖 AIA），在没有 Internet 访问的情况下验证链也会出现问题，因为浏览器将无法访问 CRL URL （证书吊销清单）。当然，除非我们谈论的是颁发站点证书的您自己的 CA（位于同一网络中）。

如果您描述的所有内容都在一个保护良好的沙箱中运行，那么您可能根本不需要 TLS 层，问问自己谁是攻击者，您在保护什么。