Регистрация Войти
Рейтинг:0
Vitalydotn avatar Server

Ошибка SSL-сертификата, когда вы не вводите полное доменное имя и полагаетесь на домен поиска по умолчанию

флаг tr
Vitalydotn

DNS и SSL на самом деле не в моей рулевой рубке больше, чем элементарное понимание, я надеюсь, что то, что я хочу сделать, не невозможно!

Вот ситуация:

  • У нас есть внутренний домен и DNS-сервера, назовем его внутри компании.com
  • Мы переходим с самоподписанных сертификатов и купили сертификат DV с подстановочными знаками для *.inside-company.com -- Это все внутри, так что DV достаточно
  • Большинство пользователей полагаются на домен поиска по умолчанию и тип применение/ или же https://приложение в свои веб-браузеры вместо полного доменного имени

Насколько я могу судить, сейчас происходит следующее:

  1. Браузер выполняет DNS-запрос и разрешает IP
  2. Браузер загружает IP и проверяет имя SSL
  3. Браузер подбрасывает net::ERR_CERT_COMMON_NAME_INVALID Этот сервер не смог доказать, что это приложение; его сертификат безопасности получен от *.inside-company.com., я предполагаю, потому что он еще не переписал URL-адрес в адресной строке с полным доменным именем (и действительно, адресная строка все еще показывает https://приложение/ на данном этапе)

Здесь можно что-нибудь сделать? Повторное обучение пользователей использованию полного доменного имени... не совсем жизнеспособный вариант. Происходит во всех браузерах, я только что дал хрому словоблудие для ошибки.

Кроме того, причина, по которой мы получили групповой сертификат, заключается в том, что мы конвертируем сотни самозаверяющих сертификатов, покупка одного сертификата для каждого приложения или даже одного сертификата для каждого сервера будет непомерно дорогой.

Спасибо!

305
0 + 0
флаг in
Gerald Schneider
Вам нужен сертификат с именем сервера без полного доменного имени в качестве SAN.
0
Ответить
Patrick Mevzek avatar
флаг cn
Patrick Mevzek
@GeraldSchneider «Вам нужен сертификат с именем сервера без полного доменного имени в качестве SAN». Что, безусловно, будет невозможно при использовании общедоступного ЦС. Это означает внутренний ЦС. Пользователь сказал «купил базу данных с подстановочными знаками», поэтому я предполагаю, что они используют внешний ЦС.
1
Ответить
Patrick Mevzek avatar
флаг cn
Patrick Mevzek
«Можно ли что-нибудь здесь сделать?» Реальным решением, которое вам не понравится, было бы: «перестаньте полагаться на списки поиска на уровне DNS», потому что они создадут много других проблем, даже если они кажутся пользователям приятными. . В противном случае, по крайней мере, если трафик HTTP (не SSL), вы могли бы настроить свои веб-серверы для немедленного перенаправления с короткого имени на новое имя (FQDN), а затем HTTPS. Не идея, потому что вы пропускаете HTTPS на первом этапе. Клиент не может/не может переписать URL-адрес, так как он получил IP-адрес от DNS и просто подключается туда, и только после этого может переписать его, если получил перенаправление.
1
Ответить
Patrick Mevzek avatar
флаг cn
Patrick Mevzek
«покупка по одному на приложение или даже по одному на сервер будет непомерно дорогой». Вы знаете, что это общедоступные центры сертификации, предоставляющие сертификаты бесплатно?
0
Ответить
Patrick Mevzek avatar
флаг cn
Patrick Mevzek
Возможно, вы также могли бы создать какое-то решение, используя эквивалент «конфигурации» `wpad.dat`, который вам нужно будет поддерживать для всех браузеров в вашем парке, чтобы 1) все «короткие» имена были проксированы на определенный веб-сервер. вы контролируете 2) у вас есть надлежащие (локальные) сертификаты для всех этих имен в этом поле 3) этот веб-сервер будет выполнять перенаправления на полное имя, а обо всем позаботятся браузеры. Однако с печальным последствием потенциально большого количества обслуживания для обновления правил после использования новых имен (чтобы убедиться, что они переходят на прокси).
0
Ответить
Рейтинг:0
avatar Server
флаг in
Gerald Schneider

Вам нужен сертификат с именем сервера без полного доменного имени в качестве SAN. Это единственный способ предотвратить ошибки сертификата при доступе к серверу без полного доменного имени.

Вы можете сделать это довольно просто, создав свой собственный центр сертификации (ЦС).

Простой центр сертификации можно создать с помощью таких инструментов, как Easy RSA. После создания сертификата ЦС вам необходимо развернуть сертификат ЦС на всех ваших клиентах. Это та часть, которая требует больше всего работы, но даже ее можно автоматизировать (например, с помощью Групповые политики, если вы используете домен Windows). После того, как каждый клиент установил сертификат CA и доверяет ему, вы можете создать любой сертификат, который вы хотите, с помощью CA.

Бонус: когда срок действия купленного вами сертификата истекает, вам не нужно покупать новый. Вы можете просто создать свой собственный.

0 + 0
флаг Moldova
Admin
Этот вопрос на других языках:

Ответить или комментировать

Большинство людей не понимают, что склонность к познанию нового открывает путь к обучению и улучшает межличностные связи. В исследованиях Элисон, например, хотя люди могли точно вспомнить, сколько вопросов было задано в их разговорах, они не чувствовали интуитивно связи между вопросами и симпатиями. В четырех исследованиях, в которых участники сами участвовали в разговорах или читали стенограммы чужих разговоров, люди, как правило, не осознавали, что задаваемый вопрос повлияет — или повлиял — на уровень дружбы между собеседниками.