具有CA證書問題的HTTPS SSL自簽名證書

Question

我在內部網絡上有一個網站，公眾也可以訪問。 我已經為該公共站點購買並安裝了SSL證書。 可以使用https://site.domain.com （公共）和https：//site.domain.local （內部）訪問該站點。

我遇到的問題是為內部“ site.domain.local”創建並安裝自簽名證書，以便內部網絡上的人員不會收到安全警告。 我在根文件夾中有一個密鑰庫，並且在該密鑰庫中創建的自簽名證書沒有運氣。 公鑰工作正常。 我正在運行安裝了Tomcat 7的Debian linux，並且還在網絡上通過Microsoft DNS使用Active Directory。 任何和所有幫助將不勝感激。 如果您需要更多詳細信息，請詢問。

Answer 1

如果您的證書是針對site.domain.com的，並且用戶要訪問site.domain.local並獲取該證書，則顯然名稱不匹配，瀏覽器將始終警告您。

您要么需要：

• 獲取使用兩個名稱重新生成的證書
• 僅針對內部站點獲取證書
• 修改DNS，以便當內部用戶訪問site.domain.com時，他們獲得site.domain.local的IP地址。

Answer 2

不確定我是否完全了解您的設置，但是您可以在Tomcat上使用Apache，在Apache實例上安裝證書，然后對Tomcat實例執行反向代理（純HTTP）。 人們將訪問處理SSL連接的Apache實例。

Answer 3

一種方法是在每個客戶端證書受信任存儲區中添加CA證書（這不方便）：客戶端單擊證書警告消息並安裝/信任自簽名的x509 CA證書。 如果這不起作用，則說明證書存在問題（盡管大多數openssl生成的東西.CER / .CRT / .P12 / .PFX都可以在最近的Windows下正常安裝）。

如果一個客戶端通過手動設置接受了自簽名證書，則可以嘗試使用Active Directory安裝這些證書； 基本上，您在AD中添加了受信任的CA證書，並且客戶端自動進行了同步（nb：主要在登錄時）：請參見此處，了解有關使用AD進行設置的提示： http : //support.microsoft.com/kb/295663/zh-我們 （您可以嘗試這樣做或向那個方向挖掘：使用AD，您永遠不會知道）。

另一種可能性是設置您的內部DNS，以將site.domain.com指向本地網站地址（ 簡便方法 ）。 您可以使用linux / unix風味上的/etc/hosts文件（或Windows風味上的system32/drivers/etc/hosts ）來測試此設置