代理服務器上的 SSL 證書與原始服務器上的 SSL 證書

Question

所以我正在設置一個可以從互聯網上看到的反向代理。 我將在反向代理上安裝一個中間 CA 簽名的 SSL 證書。 反向代理將終止原始的 SSL 連接，但將通過另一個 SSL 連接到源服務器並轉發應用程序流量。

如果我的域是acme.com ，那么我的反向代理上的 SSL 證書將有一個cn: acme.com 。 我的源服務器將有一個自簽名的 SSL 證書。 我的問題是我應該在源服務器上安裝的 SSL 證書上使用相同的cn: acme.com ，即使最終用戶無法直接訪問它？ 在自簽名源服務器上不使用cn: acme.com的優缺點是什么？

Answer 1

如果顯式信任此特定證書，例如通過反向代理中的指紋（即不要盲目信任所有內容），則內部服務器證書的主題無關緊要。 但是信任特定證書意味着如果內部設置發生更改（即新證書），您還需要更改您信任的證書。 如果您不完全控制內部設置，這可能是一個特別嚴重的問題。

如果您不使用自簽名證書而是使用內部 CA 頒發的證書，它會更好地擴展。 在這種情況下，只要證書的主題與域匹配，信任代理中的內部 CA 就足夠了。 這使得可以獨立於代理設置更改內部證書，只要主題仍然與域匹配並且證書仍然由受信任的內部 CA 頒發。