Настройка httpS для нескольких доменов - PullRequest
Новая
       39

Настройка httpS для нескольких доменов

5 голосов
/ 15 декабря 2011

Мне нужно настроить https для нескольких домианов xxxx.com xxxx.net (с одним общим сертификатом)

CA, где мы покупаем сертификат, запрашивают создание запроса на подпись сертификата (CSR), но когда я генерируюэто с openssl - он запрашивает только одно имя

как сделать один CSR для нескольких доменов?

1 Ответ

12 голосов
/ 15 декабря 2011

Избегайте сертификатов с несколькими CN (как предлагается в комментариях), это не то, как спецификации ( RFC 2818 и RFC 6125 ) говорят, что это должно работать и, хотя это может работать вВ некоторых клиентских приложениях обычно происходит сбой.С RFC 2818 :

Если присутствует расширение subjectAltName типа dNSName, это ДОЛЖНО использоваться в качестве идентификатора.В противном случае ДОЛЖНО использоваться (наиболее определенное) поле общего имени в поле «Тема» сертификата.Хотя использование общего имени является существующей практикой, оно устарело, и органам по сертификации рекомендуется вместо этого использовать dNSName.

Вместо этого генерируйте сертификаты (или CSR) с несколькими альтернативными именами субъекта (SAN)..

Если вы используете OpenSSL, отредактируйте ваш openssl.cnf (или отредактируйте копию) и установите эти свойства в соответствующих разделах ([req] и [ v3_req ]): 

[req]
req_extensions = v3_req

[v3_req]
subjectAltName=DNS:www.example1.com,DNS:www.example2.com,DNS:www.example3.com

Есть также хороший прием для использования переменной окружения (вместо того, чтобы фиксировать ее в файле конфигурации) здесь: http://www.crsr.net/Notes/SSL.html

Вы также можете захотеть иметь одну из них (любую) вCN.

(Вас также может заинтересовать этот ответ .)

...