我可以创建浏览器识别的链式 SSL 证书吗？

Question

假设我有一个对 example.com 有效的证书（并由已知的 SSL 供应商提供支持）。我希望能够拥有域 test.example.com 的测试版本，该版本也使用 SSL 证书进行保护，但我想这样做而无需支付商业证书（我意识到有“免费" 证书，但几乎所有证书都有时间限制，这对我不起作用）。

显然可以从该证书创建一个链式证书。我想知道的是浏览器是否会认为链接的证书有效。

请注意，example.com 的证书是 SAN 证书，涵盖其他域，如 docs.example.com、example.org 等。

理想情况下，我希望链接的证书也是SAN 证书，并且只提供每个域的测试类似物：test.example.com、test.docs.example.com、test.example.org 等。

我知道测试证书需要一个单独的 IP 地址。

顺便说一下，这是在 Apache 和 CentOS 上。

Answer 1

我想知道的是浏览器是否会认为链接的证书有效。

他们都没有。在您的证书中，它在Certificate Basic Constraints下有条目：

Not Critical
Is not a Certification Authority

一旦浏览器将其视为中间证书，它就会拒绝您对其进行“签名”的那些。