具有CA证书问题的HTTPS SSL自签名证书

Question

我在内部网络上有一个网站，公众也可以访问。 我已经为该公共站点购买并安装了SSL证书。 可以使用https://site.domain.com （公共）和https：//site.domain.local （内部）访问该站点。

我遇到的问题是为内部“ site.domain.local”创建并安装自签名证书，以便内部网络上的人员不会收到安全警告。 我在根文件夹中有一个密钥库，并且在该密钥库中创建的自签名证书没有运气。 公钥工作正常。 我正在运行安装了Tomcat 7的Debian linux，并且还在网络上通过Microsoft DNS使用Active Directory。 任何和所有帮助将不胜感激。 如果您需要更多详细信息，请询问。

Answer 1

如果您的证书是针对site.domain.com的，并且用户要访问site.domain.local并获取该证书，则显然名称不匹配，浏览器将始终警告您。

您要么需要：

• 获取使用两个名称重新生成的证书
• 仅针对内部站点获取证书
• 修改DNS，以便当内部用户访问site.domain.com时，他们获得site.domain.local的IP地址。

Answer 2

不确定我是否完全了解您的设置，但是您可以在Tomcat上使用Apache，在Apache实例上安装证书，然后对Tomcat实例执行反向代理（纯HTTP）。 人们将访问处理SSL连接的Apache实例。

Answer 3

一种方法是在每个客户端证书受信任存储区中添加CA证书（这不方便）：客户端单击证书警告消息并安装/信任自签名的x509 CA证书。 如果这不起作用，则说明证书存在问题（尽管大多数openssl生成的东西.CER / .CRT / .P12 / .PFX都可以在最近的Windows下正常安装）。

如果一个客户端通过手动设置接受了自签名证书，则可以尝试使用Active Directory安装这些证书； 基本上，您在AD中添加了受信任的CA证书，并且客户端自动进行了同步（nb：主要在登录时）：请参见此处，了解有关使用AD进行设置的提示： http : //support.microsoft.com/kb/295663/zh-我们 （您可以尝试这样做或向那个方向挖掘：使用AD，您永远不会知道）。

另一种可能性是设置您的内部DNS，以将site.domain.com指向本地网站地址（ 简便方法 ）。 您可以使用linux / unix风味上的/etc/hosts文件（或Windows风味上的system32/drivers/etc/hosts ）来测试此设置