ssl - AWS 和 TLS 身份验证

Question

有谁知道如何在 AWS Ubuntu 机器内运行的应用程序上启用 TLS 身份验证。

具体来说，我在 AWS 上有一台运行 Linux Container (LXC) 和 LXD(LXC 之上的框架，提供 REST API 来访问 Linux Container 等)的 Ubuntu 机器。我使用 LXC 命令行实用程序在 Ubuntu 主机上生成了证书和 key 。然后，我通过运行为其提供 --cert 和 --key 选项的 curl 命令测试证书是否在本地工作，一切正常。然后我将证书复制到我的本地机器 (Mac OS X) keyChain 并尝试访问 Ubuntu 服务器(顺便说一句，它有一个开放的安全性，允许来自任何端口的任何地方的流量。)它给了我错误:“这个服务器无法证明它是 X.X.X.X 。它的安全证书来自 ip-X.X.X.X”。

我注意到证书中的 DNS 名称值是 AWS 给机器的私有(private) IP 地址，而不是公共(public) IP 地址。

有谁知道我如何从外部公共(public)网络访问 AWS Ubuntu 机器内支持 TLS 的应用程序？

如果不清楚，请告诉我，我很乐意提供更多详细信息。

Answer 1

在证书中有一个字段指定证书应来自哪个机器名称或 IP 地址。这可以防止另一个站点获取相同的证书并将其作为另一个站点的证书提供。这种情况下的问题是您的证书指定了 AWS 内部地址，但客户端看到的是服务器的外部地址。

解决方案很简单:生成一个安全证书，其主题备用名称 (SAN) 是外部 IP 地址而不是内部 IP 地址。然后，外部客户端将看到证书 IP 地址与他们访问的地址相匹配。