本地域SSL证书

Question

我在我们的测试实验室工作。我们测试实验室中的所有机器都在.foo.bar.baz.com域上。我可以用一个通用名称为*.foo.bar.baz.com的SSL证书安装我们的服务器，它将成功地验证.

https://abc.foo.bar.baz.com
https://xyz.foo.bar.baz.com

...but不会为.

https://abc

我们的很多脚本都是这样设计的。我是否可以使用任何SSL通用名称(我尝试过*)来验证没有域的站点？

Answer 1

也许你能做的最好的就是一个列出所有主机名的UCC证书。下面是有关从openssl生成CSR的说明 (因为标准提示不会要求subjectAltName字段)。因此，您可以创建一个以*.for.bar.baz.com作为公共名称的证书，然后在alt_names部分/中列出主机名

Answer 2

没有所谓的“网站没有域名”，除非你是通过IP访问。在https://abc的例子中，abc是您的FQDN。

不幸的是，没有办法使证书执行您所追求的通配符的两个版本。您可以为每个证书处理主题替换名称，但显然需要在每次添加新服务器时重新颁发。

Answer 3

正如我阅读和理解的名称便宜的社区，它不可能只保护第五层域，如您所说的'abc'，更好地使用多域SAN SSL证书，可以保护不同的顶级域名，不同的二级域名，不同的IP或不同的服务器名称。