拒绝与其他主机名的HTTPS连接

Question

我已经安装了一个SSL证书，并为我的网站工作，然而，5个不同的域都指向同一主机，如果一个用户被定向到https://(the other four)，他们会得到一个大的愤怒的红色屏幕。

如果我只有一个VirtualHost，这似乎是万无一失的，这正是我不想要的。我试图创建另一个VirtualHost来捕获未经认证的域：

NameVirtualHost *:443

<VirtualHost *:443>
    ServerName example2.com
    ServerAlias example3.com
    DocumentRoot /srv/deadwww/  # contains nothing of consequence
</VirtualHost>

<VirtualHost *:443>
    ServerName example.com
    SSLEngine on
    SSLCertificateFile /path/to/certs/example.com.crt
    ...

但阿帕奇甚至都不愿开始，咆哮道：

[error] Server should be SSL-aware but has no certificate configured

所以，如果我只有一个VirtualHost条目，它会捕获所有的名称并在大多数情况下失败，如果我在到达之前试图捕捉坏的名称……我不能这样做，因为Apache不允许我这样做。我该如何解决这个问题？

Answer 1

如果没有三件事中的一件，您就不能做任何事情来修复这个问题：

• 更多IP地址-将带有SSL的域移动到与非SSL地址不同的地址。
• 更多的证书(以及SNI的使用)--这是为Apache将根据客户端在TLS握手中发送的主机名而提供的每个域配置的证书。请注意，XP上的IE和Chrome仍然会收到证书警告！
• 不同的证书-通配符或替代名称证书涵盖所有涉及的域名。

在Apache配置中，如果没有这三项更改中的一项，就无法解决这个问题，因为任何类型的重定向或阻塞请求都将在SSL握手完成后发生(用户必须在重定向之前通过证书警告进行单击)。

Answer 2

您不能以这种方式托管多个SSL站点；它们都需要自己的ip地址，或者您需要通配符安全证书：http://wiki.apache.org/httpd/NameBasedSSLVHosts

Answer 3

如果你有5个顶级域名或更少，你可以得到一个“多主机”证书，这将比5个IP+5个单独证书便宜。与多主机，您将不需要新的ips，或必须进行dns更改(即。5种不同的fqdn在同一IP上)。