android - 私有(private) IP 上的自签名 SSL 证书在 Chrome 中无效

Question

我想为 Nodejs 服务器创建一个自签名证书。我从 macOS 运行它。我希望能够通过 Chrome 上的“https://192.9.200.77:8005”从同一 wifi 网络上的另一台设备 (Android) 通过 https 访问该服务器呈现的页面。 192.9.200.77是服务器的IP。

我设法使用 OpenSSL 和 SAN 创建 key 和证书。我在 Android 设备和 macOS 上安装了证书。

在 MacOS 上，证书适用于 Safari，但不适用于 Chrome 71。

在 Android 上，证书也不起作用。

app.js(节点服务器):

const fs = require('fs');
const https = require('https');

const credentials = {
  key: fs.readFileSync('keys/priv_and_pub.pem'),
  cert: fs.readFileSync('keys/CA.crt')
};
const express = require('express');
const app = express();
const port = 3000;

app.get('/', (req, res) => res.send('Hello World!'));

const httpsServer = https.createServer(credentials, app);

httpsServer.listen(8005, () => console.log(`Example app listening on port 8005 in https!`));

为了创建证书，我使用配置文件:

ssl.conf

[ req ]
x509_extensions     = x509_ext
distinguished_name  = subject


[ subject ]
countryName         = Country Name (2 letter code)
countryName_default     = US

stateOrProvinceName     = State or Province Name (full name)
stateOrProvinceName_default = California

localityName            = Locality Name (eg, city)
localityName_default    = SF

organizationName         = Organization Name (eg, company)
organizationName_default    = my company

commonName          = Common Name (e.g. server FQDN or YOUR name)
commonName_default      = 192.9.200.77

emailAddress            = Email Address
emailAddress_default        = myadress@domaine.com

[ x509_ext ]
basicConstraints        = CA:TRUE
subjectAltName          = @alternate_names

[ alternate_names ]

DNS.1       = 192.9.200.77

使用以下命令的 Openssl:

openssl genrsa -out priv_and_pub.key 2048

openssl req -config ssl.conf -new -x509 -sha256 -key priv_and_pub.key -subj "/C=US/ST=California/L=BSF/O=myCompany/OU=Prod/CN=192.9.200.77"  -out CA.crt 

然后，我按照建议将证书转换为适用于 Android 设备的 DER 格式 here :

openssl x509 -inform PEM -outform DER -in CA.crt -out CA.der.crt

并将 priv_and_pub.key 转换为节点服务器的 .pem:

cp priv_and_pub.key priv_and_pub.pem

app.js 工作正常。我在 macOS 中安装了 .cert，在 Safari 上一切正常(绿色锁等)，但在 Chrome 上不起作用:(net::ERR_CERT_COMMON_NAME_INVALID)。浏览器控制台，在“安全”选项卡中，我得到连接(连接 - 安全(强 TLS 1.2))和资源(资源 - 全部安全服务)的绿色标志，但证书(证书 - 缺失)的红色标志和此错误:'无法在服务器上验证这是域192.9.200.77，因为它的安全证书来自域192.9.200.77。这可能是由于配置错误或黑客的连接造成的。 (谷歌法语翻译)

感谢任何帮助，花了一天的时间来解决这个问题!谢谢!

Answer 1

要清理此解决方案并将其精简为核心元素，需要执行以下操作来创建 Chrome 信任的 IP 证书。

ssl.conf 文件...

[ req ]
default_bits       = 4096
distinguished_name = req_distinguished_name
req_extensions     = req_ext
prompt             = no

[ req_distinguished_name ]
commonName                  = 192.168.1.10

[ req_ext ]
subjectAltName = IP:192.168.1.10

当然，192.168.1.10 是我们希望 Chrome 信任的本地网络 IP。

因此，不需要 CA:True 基本约束。

创建证书:

 openssl genrsa -out key1.pem
 openssl req -new -key key1.pem -out csr1.pem -config ssl.conf
 openssl x509 -req -days 9999 -in csr1.pem -signkey key1.pem -out cert1.pem -extensions req_ext -extfile ssl.conf
 rm csr1.pem

在 Windows 上，将证书导入到所有客户端计算机上的受信任根证书存储中。在 Android 手机或平板电脑上下载证书进行安装。现在 Chrome 将信任 Windows 和 Android 上的证书。

在 Windows 开发盒上，获取 openssl.exe 的最佳位置是“c:\Program Files\Git\usr\bin\openssl.exe”