HTTPS Сертификат для внутреннего использования

Question

Я разрабатываю веб-сервер для системы, которая должна быть использована только через HTTPS, на внутренней сети (нет доступа из внешнего мира)

Прямо сейчас я получил он настраивается с самозаверяющим сертификатом, и он отлично работает, за исключением неприятного предупреждения о том, что все браузеры срабатывают, так как авторитет ЦС, используемый для его подписания, естественно, не заслуживает доверия.

Доступ предоставляется по доменному DNS имя локального разрешенного на локальном сервере DNS (например: https://myapp.local/), который отображает этот адрес 192.168.xy

Есть ли какой-провайдер, который может выдать мне соответствующий сертификат для использования внутреннее доменное имя (myapp.local)? Или мой единственный вариант использования полного доменного имени в реальном домене, а затем привязать его к локальному IP-адресу?

Примечание: Я хотел бы указать вариант, когда необязательно отмечать открытый ключ сервера как доверенный в каждом браузере, поскольку я не контролирую рабочие станции.

Answer 1

я сделал следующее, который работал хорошо для меня:

Я получил подстановочный SSL-сертификат для * .mydomain.com (Namecheap, например, предоставил это дешево)

Я создал запись CNAME DNS, указав «mybox.mydomain.com» на «mybox.local».

Надеюсь, что это поможет - к сожалению, у вас будет счет подстановочного сертификата для вашего доменного имени, но у вас может быть уже это.

Answer 2

У вас есть два варианта: практические

1. Stand свой собственный CA. Вы можете сделать это с помощью OpenSSL, и там много информации Google.

2. Продолжайте использовать свой самоподписанный сертификат, но добавьте открытый ключ в свои доверенные сертификаты в браузере. Если вы находитесь в домене Active Directory, это можно сделать автоматически с помощью групповой политики.

Answer 3

Для этого вам придется попросить типичных людей сертификатов. Для удобства использования я получил бы с полным доменным именем, но вы можете использовать поддомен для своего уже зарегистрированного: https://mybox.example.com

Также вы можете посмотреть подстановочные сертификаты, предоставляя общий сертификат для (например) https://*.example.com/ - даже для виртуального хостинга, если вам нужно больше, чем только один сертификат.

Сертифицирующих суб- или суб-суб домены FQDN должна быть стандартным бизнес - может быть, не для точки & клика больших парней, которые с гордостью сам предоставляют сертификаты всего за 2 минуты.

Короче говоря: Для того, чтобы сделать сертификат доверенным рабочей станции, вы должны либо

настройки

• изменений на рабочих станциях (которые вы не хотите) или
• использовать уже доверенной стороной подпишите свой ключ (который вы ищете вокруг).

Это все ваш выбор. Выберите свой яд.

Answer 4

Я бы добавил это как комментарий, но это было немного долго ..

Это не совсем ответ на ваши вопросы, но на практике я обнаружил, что это не рекомендуется использовать .local - даже если он находится в вашей «локальной» тестовой среде с вашим собственным DNS-сервером.

Я знаю, что Active Directory использует имя .local по умолчанию, когда ваш установочный DNS, но даже люди в Microsoft говорят, чтобы избежать этого.

Если у вас есть контроль над DNS-сервером, вы можете использовать домен .com, .net или .org, даже если он является только внутренним и частным. Таким образом, вы можете фактически купить доменное имя, которое вы используете внутренне, а затем купить сертификат для этого имени домена и применить его к своему локальному домену.

Answer 5

Я думаю, что ответ НЕТ.

Из-под коробки браузеры не будут доверять сертификатам, если это не было окончательно проверено кем-либо, предварительно запрограммированным в браузере, например. verisign, register.com.

Вы можете получить подтвержденный сертификат только для глобального уникального домена.

, так что я бы предложил вместо myapp.local вы используете myapp.local.yourcompany.com, для которого вы должны иметь возможность получить сертификат, если у вас есть собственный comcompany.com. это будет стоить вам несколько сотен в год.

также можно предупредить, что подстановочные сертификаты могут опускаться только на один уровень - так что вы можете использовать его для a.yourcompany.com и local.yourcompany.com, но, возможно, не bayourcompany.com или myapp.local.yourcompany.com , если вы не платите больше.

(кто-нибудь знает, это зависит от типа сертификата подстановочные являются суб-суб-домены доверяют основных браузерах?)