ssl - 你如何让 Mozilla FireFox 接受你的根证书颁发机构 ssl 证书，这样它就不会提示 https 上的自签名 ssl 证书？

Question

首先，我想指出这在 Internet Exporer 11 上运行良好。但出于某种原因，我无法让 FireFox 正常运行!

所以我已经添加了我自己的 rootCA 安全证书，在 Internet Explorer 下它工作正常，我的带有自签名证书的网站是可信的。

但是在 Firefox v61.0.1 和 v65.0 上，即使我的根证书已经添加，另外 security.enterprise_roots.enabled 设置为 true(在 about:config 中)，我仍然得到“你的连接是不安全”消息，我必须添加安全异常(exception)才能查看我的网站。

在带有添加异常(exception)的消息和按钮的区域，Firefox 说:

“xx.xxx.xx.x 使用无效的安全证书。该证书仅对 xx.xxx.xx.x 有效。错误代码:SSL_ERROR_BAD_CERT_DOMAIN”

现在 xx.xxx.xx.x 是一个互联网可达的 IP 地址，上面一行中的两个实例都有完全相同的 IP 地址，我在 CN 字段中使用了 IP。

点击 SSL_ERROR_BAD_CERT_DOMAIN 显示:“无法与对等方安全通信:请求的域名与服务器的证书不匹配。HTTP 严格传输安全:false HTTP 公钥固定:false 证书链:-----BEGIN CERTIFICATE----- ..... ..”

无论如何，我猜测在其当前配置中，Mozilla FireFox 混淆了该站点具有无效证书，而实际上它是有效的，其混淆的原因可能是它期望域名而不是 IP 地址。

如果是这样，有没有办法告诉 Firefox 接受基于 IP 地址的 ssl 证书？

同样，当前配置对我来说在 Internet Explorer 上工作得很好。

如您所知，许多工具(如内置 IDE svn 和其他源代码控制客户端)在 ssl-cert 中有问题时真的不喜欢它。

这就是我在 Windows 中创建和加载自己的根 CA 机构时遇到麻烦的原因。不，请不要推荐 letsencrypt，需要经常更新，而且我没有似乎需要更新的传入 OPEN 端口。

谢谢!

Answer 1

万岁!成功 :) 我按照我认为是对 IP 与名称的混淆进行了研究，发现我在 [alt_names] 部分下使用的 extfile DNS.1 = xx.xxx.xx.x

所以我简单地编辑了我的 extfile 并将 DNS.1 = ... 更改为现在的 IP.1 = xx.xxx.xx.x

然后我简单地重新创建了我的网络服务器的证书。对于任何想知道的人，这是实际命令:

openssl x509 -req -in mywebserver.csr -CA myrootCA.pem -CAkey myrootCA.key -CAcreateserial -out ./certs/mynginxwebserverIP.crt -days 2555 -sha256 -extfile myextfile.cnf

这覆盖了我当前的 .crt 文件，我需要做的就是 nginx -s reload 和 bingo!

希望对某人有所帮助，因为它让我发疯!

现在它在 Firefox 中工作得很好，我得到了那个令人欣慰的漂亮绿色锁:)

而 Internet Explorer 不知道/不关心其中的区别，两种方式都有效:D