บรรจวบ เข้าสู่ระบบ
Score:0
Vitalydotn avatar Server

ข้อผิดพลาดใบรับรอง SSL เมื่อไม่พิมพ์ FQDN และใช้โดเมนการค้นหาเริ่มต้น

ธง tr
Vitalydotn

DNS และ SSL ไม่ได้อยู่ใน wheelhouse ของฉันมากไปกว่าความเข้าใจเบื้องต้น ฉันหวังว่าสิ่งที่ฉันต้องการจะทำจะไม่ใช่สิ่งที่เป็นไปไม่ได้!

นี่คือสถานการณ์:

  • เรามีโดเมนภายในและเซิร์ฟเวอร์ DNS เรียกมันว่า inside-company.com
  • เรากำลังย้ายจากใบรับรองที่ลงนามด้วยตนเองและซื้อใบรับรอง DV ที่เป็นสัญลักษณ์แทน *.inside-company.com -- นี่คือทั้งหมดที่หันเข้าหากันภายใน ดังนั้น DV ก็เพียงพอแล้ว
  • ผู้ใช้ส่วนใหญ่ใช้โดเมนและประเภทการค้นหาเริ่มต้น แอปพลิเคชัน/ หรือ https://ใบสมัคร ลงในเว็บเบราว์เซอร์แทน FQDN

สิ่งที่ดูเหมือนจะเกิดขึ้นตอนนี้จนสุดความสามารถของฉันที่จะบอกได้คือ:

  1. เบราว์เซอร์ทำการสืบค้น DNS และแก้ไข IP
  2. เบราว์เซอร์โหลด IP และตรวจสอบชื่อ SSL
  3. เบราว์เซอร์พ่นขึ้น net::ERR_CERT_COMMON_NAME_INVALID เซิร์ฟเวอร์นี้ไม่สามารถพิสูจน์ได้ว่าเป็นแอปพลิเคชัน ใบรับรองความปลอดภัยมาจาก *.inside-company.comฉันสันนิษฐานเพราะมันยังไม่ได้เขียน URL ใหม่ในแถบที่อยู่ด้วย FQDN เลย (และแถบที่อยู่ยังคงแสดงอยู่ https://ใบสมัคร/ ณ จุดนี้)

สามารถทำอะไรที่นี่? การให้ความรู้แก่ผู้ใช้อีกครั้งเพื่อใช้ FQDN คือ... ไม่ใช่ตัวเลือกที่ใช้การได้จริงๆ เกิดขึ้นในเบราว์เซอร์ทั้งหมด ฉันเพิ่งให้ Chrome verbiage สำหรับข้อผิดพลาด

นอกจากนี้ เหตุผลที่เราได้รับใบรับรองตัวแทนก็เพราะมีใบรับรองที่ลงนามด้วยตนเองหลายร้อยรายการที่เรากำลังแปลง การซื้อหนึ่งรายการต่อหนึ่งแอปพลิเคชันหรือแม้แต่หนึ่งรายการต่อเซิร์ฟเวอร์ก็อาจมีค่าใช้จ่ายสูง

ขอบคุณ!

305
0 + 0
in flag
Gerald Schneider
คุณต้องมีใบรับรองที่มีชื่อเซิร์ฟเวอร์โดยไม่มี FQDN เป็น SAN
0
ตอบกลับ
Patrick Mevzek avatar
cn flag
Patrick Mevzek
@GeraldSchneider "คุณต้องการใบรับรองที่มีชื่อเซิร์ฟเวอร์โดยไม่มี FQDN เป็น SAN" ซึ่งจะไม่สามารถทำได้อย่างแน่นอนโดยใช้ CA สาธารณะ นั่นหมายถึง CA ภายใน ผู้ใช้กล่าวว่า "ซื้อ wildcard DB" ดังนั้นฉันเดาว่าพวกเขากำลังใช้ CA ภายนอก
1
ตอบกลับ
Patrick Mevzek avatar
cn flag
Patrick Mevzek
"สามารถทำอะไรที่นี่ได้บ้าง" ทางออกที่แท้จริงซึ่งไม่ถูกใจคุณคือ: "เลิกพึ่งพารายการค้นหาที่ระดับ DNS" เพราะจะสร้างปัญหาอื่นๆ มากมาย แม้ว่ามันจะดูดีสำหรับผู้ใช้ก็ตาม . มิฉะนั้น อย่างน้อยที่สุด ถ้าทราฟฟิก HTTP (ไม่ใช่ SSL) คุณอาจกำหนดค่าเว็บเซิร์ฟเวอร์ของคุณให้เปลี่ยนเส้นทางจากชื่อย่อเป็นชื่อใหม่ (FQDN) ทันที จากนั้นตามด้วย HTTPS ไม่ใช่ความคิดเพราะคุณพลาด HTTPS ในขั้นตอนแรก ลูกค้าไม่สามารถเขียน URL ใหม่ได้เนื่องจากได้รับ IP จาก DNS และเชื่อมต่อที่นั่นและหลังจากนั้นจะสามารถเขียนใหม่ได้หากได้รับการเปลี่ยนเส้นทาง
1
ตอบกลับ
Patrick Mevzek avatar
cn flag
Patrick Mevzek
"การซื้อหนึ่งรายการต่อหนึ่งแอปพลิเคชันหรือแม้แต่หนึ่งรายการต่อเซิร์ฟเวอร์จะมีค่าใช้จ่ายสูง" คุณรู้หรือไม่ว่าพวกเขาเป็น CA สาธารณะที่มอบใบรับรองให้ฟรี
0
ตอบกลับ
Patrick Mevzek avatar
cn flag
Patrick Mevzek
คุณอาจสร้างโซลูชันบางประเภทโดยใช้ "การกำหนดค่า" ที่เทียบเท่ากับ `wpad.dat` ซึ่งคุณจะต้องบำรุงรักษาสำหรับเบราว์เซอร์ทั้งหมดในฟลีทของคุณ เพื่อให้ 1) ชื่อ "สั้น" ทั้งหมดเป็นพร็อกซีของเว็บเซิร์ฟเวอร์เฉพาะ คุณควบคุม 2) คุณมีใบรับรอง (ท้องถิ่น) ที่เหมาะสมสำหรับชื่อทั้งหมดในช่องนี้ 3) เว็บเซิร์ฟเวอร์นี้จะเปลี่ยนเส้นทางไปยังชื่อเต็ม และเบราว์เซอร์จะดูแลทุกอย่าง อย่างไรก็ตาม ผลที่ตามมาที่น่าเศร้าคือการบำรุงรักษาจำนวนมากเพื่ออัปเดตกฎเมื่อคุณใช้ชื่อใหม่ (เพื่อให้แน่ใจว่ากฎเหล่านั้นไปที่พร็อกซี)
0
ตอบกลับ
Score:0
avatar Server
ธง in
Gerald Schneider

คุณต้องมีใบรับรองที่มีชื่อเซิร์ฟเวอร์โดยไม่มี FQDN เป็น SAN นี่เป็นวิธีเดียวที่จะป้องกันข้อผิดพลาดของใบรับรองเมื่อเข้าถึงเซิร์ฟเวอร์โดยไม่มี FQDN

คุณสามารถทำได้ง่ายๆ ด้วยการสร้าง Certificate Authority (CA) ของคุณเอง

สามารถสร้าง CA อย่างง่ายได้ด้วยเครื่องมืออย่าง Easy RSA หลังจากสร้างใบรับรอง CA แล้ว คุณต้องปรับใช้ใบรับรอง CA กับไคลเอ็นต์ทั้งหมดของคุณ นี่เป็นส่วนที่มีการทำงานมากที่สุด แต่ก็สามารถทำให้เป็นอัตโนมัติได้ (เช่น การใช้ นโยบายกลุ่ม หากคุณใช้โดเมน Windows). หลังจากที่ไคลเอนต์ทุกรายติดตั้งใบรับรอง CA และเชื่อถือแล้ว คุณจะสามารถสร้างใบรับรองใดก็ได้ที่คุณต้องการด้วย CA

โบนัส: เมื่อใบรับรองที่คุณซื้อหมดอายุ คุณไม่จำเป็นต้องซื้อใหม่ คุณสามารถสร้างของคุณเอง

0 + 0
ธงชาติไทย
Kulap
คำถามนี้เป็นภาษาอื่นๆ:

โพสต์คำตอบ

คนส่วนใหญ่ไม่เข้าใจว่าการถามคำถามมากมายจะปลดล็อกการเรียนรู้และปรับปรุงความสัมพันธ์ระหว่างบุคคล ตัวอย่างเช่น ในการศึกษาของ Alison แม้ว่าผู้คนจะจำได้อย่างแม่นยำว่ามีคำถามกี่ข้อที่ถูกถามในการสนทนา แต่พวกเขาไม่เข้าใจความเชื่อมโยงระหว่างคำถามและความชอบ จากการศึกษาทั้ง 4 เรื่องที่ผู้เข้าร่วมมีส่วนร่วมในการสนทนาด้วยตนเองหรืออ่านบันทึกการสนทนาของผู้อื่น ผู้คนมักไม่ตระหนักว่าการถามคำถามจะมีอิทธิพลหรือมีอิทธิพลต่อระดับมิตรภาพระหว่างผู้สนทนา