如何在不同的网络上创建和使用基于DNS的自签名证书

Question

我有以下代码来创建自签名证书：

SubjectAlternativeNameBuilder subjectAlternativeNameBuilder = new SubjectAlternativeNameBuilder();
subjectAlternativeNameBuilder.AddDnsName("TestSRV01);
X500DistinguishedName x500DistinguishedName = new X500DistinguishedName($"CN=Self-Signed-Test");
using (RSA rsa = RSA.Create(2048))
{
    var certificateRequest = new CertificateRequest(x500DistinguishedName, rsa, HashAlgorithmName.SHA256, RSASignaturePadding.Pkcs1);
    certificateRequest.CertificateExtensions.Add(new X509KeyUsageExtension(X509KeyUsageFlags.DataEncipherment | X509KeyUsageFlags.KeyEncipherment | X509KeyUsageFlags.DigitalSignature, false));        
    certificateRequest.CertificateExtensions.Add(new X509EnhancedKeyUsageExtension(new OidCollection { new Oid("2.5.29.32.0"), new Oid("1.3.6.1.5.5.7.3.1") }, false));
    certificateRequest.CertificateExtensions.Add(subjectAlternativeNameBuilder.Build());
    var certificate = certificateRequest.CreateSelfSigned(new DateTimeOffset(DateTime.UtcNow.AddDays(-1)), new DateTimeOffset(DateTime.UtcNow.AddDays(3650)));
    return new X509Certificate2(certificate.Export( X509ContentType.Cert, pw), pw, X509KeyStorageFlags.MachineKeySet | X509KeyStorageFlags.Exportable);
}

我仅添加服务器的DNS名称， 以避免绑定到当前IP地址 （测试计算机在不同网络中移动）。

事实证明，从客户端连接时，我需要使用IP地址（DNS解析在测试站点上是不可靠的）。

不幸的是，SSL连接失败并显示以下消息：

（主机名192.168.0。***未通过验证：证书：sha256 / UuUOTTQTCb2wu **************************** DN：CN =

我不能将证书绑定到该地址，但是也不能使用域名作为连接参数。

我可以针对此问题创建可用的证书吗？ 还是在计算机启动时将证书值添加到SubjectAlternativeName列表中，是否应该修改证书值？

Answer 1

根据评论，似乎最好的处理此情况的方法是考虑到Patrick Mevzek的评论中的警告，在客户端中提供自定义证书验证。

自定义证书验证涉及您编写自己的代码以验证证书中的某些方面。 HttpClientHandler类提供了一个ServerCertificateCustomValidationCallback属性，您可以使用自己的回调对其进行设置。

证书首先由.NET评估，然后此验证的结果作为SslPolicyErrors枚举与证书一起传递到您的回调中。 您可以使用多个选项来更正验证错误。 例如，请参见此答案以获取提示。 在回调内部，您可以检查提示中的主题替代名称，并确保它是“ TestSRV01”。

X509Certificate2的GetNameInfo方法可用于仅检索主题备用名称列表中的第一个DNS名称，因此，如果要检查的主机名不是第一个，则必须与.NET进行斗争才能获得您需要的信息。