ssl - HTTPS 客户端 - 证书

Question

我用 C 语言编写原始 HTTPS 客户端——一个获取域名、将其解析为 IP 地址(通过 DNS)、连接到端口 443(SSL)上的 IP 地址、执行 SSL 握手然后通过SSL 套接字。

为了试用这个程序，我在网络服务器上托管了一个域。我为域安装了 Let's encrypt 证书。

我发现有许多域名与我的域共享相同的 IP 地址。因此，当我连接到端口 443 上的 IP 地址以执行 SSL 握手时，谁确保 mydomain 的 SSL 证书将从服务器发送到客户端，而不是属于共享相同 IP 地址的其他域名的另一个证书？

Answer 1

存在一个名为 Server Name Indication (SNI) 的 TLS 扩展它被广泛使用(例如，http/2 客户端需要)。您可以在 RFC 6066 中找到此扩展的正式规范.

使用 SNI，客户端可以在其 Hello 请求中发送所需的主机名，从而允许服务器为此连接选择匹配的 key /证书组合。