ssl - 此站点的证书不包含包含域名或 IP 地址的主题备用名称扩展？

Question

我已经按照命令使用 openSSL 生成了一个自签名证书在我基于 ubuntu 的电脑上。

openssl req -x509 -newkey rsa:2048 -nodes -keyout key.pem -out cert.pem -pubkey -days 365  -subj "/C=NZ/ST=LH/O=SoN, Inc./CN=10.16.1.96" -reqexts Canada -config <(cat /etc/ssl/openssl.cnf <(printf "[Wellington]\nsubjectAltName=DNS:10.16.1.96,DNS:10.16.1.96"))

接下来，我在运行网络服务器并使用这些 key 的 raspberrypi(10.16.1.96) 中复制了私钥和 cert.pem。

另外，我在我的 chrome 浏览器中添加了 cert.pem - 管理证书/权限，我已经导入了这个证书。

但是，我的浏览器对此有提示 -

Subject Alternative Name missing
The certificate for this site does not contain a Subject Alternative Name extension containing a domain name or IP address.

Certificate error
There are issues with the site's certificate chain (net::ERR_CERT_COMMON_NAME_INVALID).

我怎样才能摆脱这个错误？

Answer 1

在您的命令结束时，您将提供主题替代名称，如下所示:subjectAltName=DNS:10.16.1.96,DNS:10.16.1.96"。

问题是您使用的是 dNSName 类型的 SAN(OpenSSL 配置中的 DNS:)，但是您使用的是 IP 地址，因此您需要在这种情况下，类型为 iPAddress 的 SAN(请参阅 this answer 有关规范的更多详细信息)。

将命令更改为使用 subjectAltName=IP:10.16.1.96,IP:10.16.1.96" 应该可以解决这个问题。