ssl - 通过 Intranet 的 HTTPS，正确的做法是什么

Question

据我所知，从 2015 年起，内联网 ssl 证书将不再可用，为了解决这个问题，我可以生成自己的证书以供使用，并将它们安装在联网的机器上。我的问题是，在那种情况下，这是否意味着颁发我自己的证书是一种不好的做法？我想不出任何其他解决方案。

Answer 1

据推测，“intranet 证书”是指颁发给本地主机名(例如“sqlserver”或“mail”)或私有(private) IP 的证书地址。

对此有一个简单的解决方案:使用完全限定的域名，即使在 Intranet 中也是如此。连接到您的 Intranet 服务器的客户端也需要使用 FQDN，但这通常不是很困难。也没有什么可以阻止您使 DNS 将 myinternalserver.mycompany.com 解析为您想要的任何 IP 地址，包括私有(private) IP 地址，即使 DNS 服务器托管在您公司网络之外也是如此。 (对于 SSL/TLS 验证，您甚至不需要反向 DNS 即可工作，所以这不是问题。)

管理您自己的 CA 也是一种解决方案，但它可能会带来相当大的管理负担(取决于您环境的规模)。

(从安全的角度来看，我认为这些 Intranet 证书无论如何都不应该真正存在，因为两个完全不同的实体可能会颁发对相同(相对)身份有效的不同证书。)