直接访问证书

Question

我想知道我是否可以将单个证书用于所有直接访问功能。

我正在一个相对较小的网络上实际设置 DirectAccess。由于这是一个小型网络，我试图找到必要的最低配置。

在测试环境中，我使用 Direct Access 向导执行了快速安装，让它自动生成自签名证书，结果是三个证书。

• CN = DirectAccess.example.org

  • 友好名称：DirectAccess-IPHTTPS
  • 用途：服务器认证

• CN = CN = DirectAccess-NLS.example.org

  • 友好名称：DirectAccess-NLS
  • 用途：服务器认证

• CN = DirectAccess-RADIUS-Encrypt-servername.example.org

  • 友好名称：远程访问为 RADIUS 共享机密颁发的证书
  • 用途：所有

所以重申我的问题，我真的需要 3 个单独的证书吗？我可以使用单个证书和主题备用名称执行此操作吗？从我读到的描述中，NLS 和 IPHTTPS 证书都用于 HTTPS，它们似乎应该支持替代名称。

Answer 1

我使用通配符证书和不同的通配符 SAN 进行这项工作，因为我的服务器的内部名称与外部 DNS 不同。

因此，在上述情况下，证书将是 *.example.org，可能具有 *.example.local 的 SAN，如果它与您的外部 DNS 名称不同，那么它也符合服务器的内部名称。

如果您选择通配符路线，请注意，它被认为不如列出确切的 FQDN 安全。在需要遵守合规性标准的情况下，这可能不是最安全的方法。