SSL 通配符证书

Question

我正在寻找公司 *.domain.com 的通配符证书。我不需要扩展验证。入门级问题:

• 我应该购买 2 级证书还是 3 级证书？主要区别是什么？

• 我可以在不同的机器(不同的 IP)上安装(使用)相同的证书/ key 对吗？一些 CA 要求专用 IP 作为要求，但我想为多个虚拟主机使用 SNI。

• 一般来说，依靠 SNI 支持是个好主意吗？

Answer 1

Should I buy level 2 or level 3 certificate? What's the main difference?

区别在于中间 CA 的数量，这应该无关紧要。不同的 CA 可能在证书之间存在其他差异，例如生命周期等，但这取决于 CA。

Can I install (use) the same certificate/key pair in different machines (different IPs)? Some CAs ask for dedicated IP as a requirement, but I'd like to use SNI for multiple virtual hosts

只要主机名在所有情况下都与证书匹配，则对不同 IP、不同端口、多台机器等使用相同证书没有限制。当然，每台机器都需要访问私钥，因此您可以使用更多机器来增加攻击面。

In general, is it a good idea to rely on SNI support?

这取决于您需要支持哪种系统。如果您只希望将较新的浏览器作为客户端 SNI 就可以了。但是，SNI 不受 IE8(Windows XP)、一些 Android 应用程序(因为 Apache HTTP 库的旧版本)、旧版本的 Java 和旧版本的脚本语言(如 Python、Perl 等)的支持，这些语言通常用于自动执行任务.

如果您不仅要将证书用于网络，还要用于邮件，情况可能会更糟。