不同服务器上的单个域的多个 SSL 证书

Question

我们的网站由托管公司 HA 托管在域 D 下，采用共享托管计划。我想将我们的托管服务提供商切换到 HB 公司，并且我愿意为此目的购买新的 SSL 证书。我明确不想迁移现有证书，因为我无权访问 HA 上的服务器。

我的问题是 HA 和 HB 是否可以同时为同一个域 D 安装一个独立的证书？

如果是这样，一旦我将域切换到 HB，新站点是否会在 SSL 下无缝工作，或者我是否必须以某种方式在 HA 上“取消注册”证书，然后才能在 HB 上安装新站点？

Answer 1

使用沼泽标准 SSL，这很好。HA 提供有效签名的旧证书，使用来自 DNS 的旧 A 记录并连接到该服务器的客户端将继续接受它。HB 将提供新证书，获得新 A 记录的客户端将连接到它并接受新证书。他们可以和平共处。

也就是说，SSL 的一些扩展可能会使这变得更加棘手。浏览器插件，如Certificate Patrol，它缓存 SSL 证书，将标记更改，如果客户端在验证新记录后不幸获得旧记录（也许用户会将笔记本电脑从工作（旧 DNS）移动到一个网吧（新的 DNS），然后恢复工作），插件会抱怨。

我记得另一个分布式系统，它允许多个用户通过汇集在任何给定服务器上看到的证书的许多客户端视图来避免 MITM 认证攻击。虽然我现在找不到对它的引用，但这肯定会导致您的场景出现问题。

但这些还不是很常见，所以你可能会没事的。