SSL-сертификат с подстановочным знаком в общем имени

#ssl #ssl-certificate

#ssl #ssl-сертификат

Вопрос:

У нас есть хост, на котором запущено несколько веб-сайтов: webex1dev webex2dev webex3dev webex4dev

теперь нам нужно создать сертификат для всех этих веб-сайтов. Будут ли сайты работать на ssl, если мы запросим новый сертификат с CN как webex * dev?

Ответ №1:

Технически это разрешено RFC 2818 (и другими), но на практике поддерживается недостаточно.

Например, openssl вообще не поддерживает его, и вы, вероятно, столкнетесь с проблемами как с клиентами, так и с серверами.

Вместо этого вы должны поместить список хостов в расширение альтернативного имени субъекта.

Комментарии:

1. Спасибо, если я помещу хосты в SAN … и новые веб-сайты будут настроены на том же хосте… нам придется заново создать сертификат с новым SAN..

2. Да, или используйте сервер, который может обрабатывать несколько сертификатов и может выбрать правильный на основе SNI.