windows - 保护可移植 Intranet 上的通信(更改 IP 地址)

Question

我有以下场景:

1. 将在 Windows 基础架构上设置网络
2. 将在该网络上放置一个网站 - 它没有域名，也无法在 Internet 上访问。它将仅通过内部认可的 IP 地址进行寻址。
3. 该网络中的一个软件将与该网站通信(我们希望避免在不降低安全性的情况下使用自签名证书发现“无法建立信任关系 issue”，我相信接受的答案确实如此)。
4. 该网站也可以在平板电脑和 PC 上查看。
5. 几天后，该服务将被放置在不同的网络(具有不同的 IP)上。
6. 它将安装在许多 PC/网络上。

我想通过 SSL 保护它，但在 2015 update 之后似乎很棘手不允许 IP 地址拥有证书。

这post建议通过公共(public) IP，但该解决方案可能在无法访问互联网的区域完全离线。

我花了几个小时研究，但似乎遗漏了什么。

请问这个应该怎么做？

Answer 1

我会设置一个带有 app.local 域的 DNS 服务器，该域会颁发证书。

即使您在 TLS 握手中提供中间证书(您应该始终这样做而不是依赖 AIA )，如果没有互联网访问，验证链也会出现问题，因为浏览器将无法访问 CRL URL (证书撤销列表)。当然，除非我们谈论的是您自己的颁发站点证书的 CA(位于同一网络中)。

如果您描述的所有内容都在保护良好的沙箱中运行，那么您可能根本不需要 TLS 层，问问自己谁是攻击者以及您在保护什么。