我必须在 fortinet 代理上使用什么样的证书，以便客户端无需进一步配置就可以信任它？

Question

我们必须在 fortinet 代理上安装什么样的证书，以便内部网络 (*) 上的客户端信任 https 连接？

(*) 无需在客户端上安装证书。

我们正在寻找一种经济实惠的证书，客户无需进一步配置即可自动信任并通过 fortinet 代理。

我正在查看https://www.ssls.com/上的证书，但不确定购买哪一种可以按照我们想要的方式工作。

客户包括：

• 火狐浏览器、Chrome、Internet Explorer
• Java 运行时（具有专有证书密钥库）

谢谢。

Answer 1

简而言之：没有办法做你想做的事。

您需要在客户端已经信任的代理中安装 CA 证书，即由公共 CA 颁发的证书。虽然过去有时获得此类证书很常见，但幸运的是今天，如果 CA 颁发此类证书，则浏览器可能会公开不信任它们，因此您将不会获得此类证书。

除此之外，即使您得到这样的东西，它也会导致使用证书锁定的连接出现问题，即谷歌、Facebook 等。由于 SSL 拦截会更改证书，浏览器会抱怨证书不再匹配并拒绝访问。如果新证书不是由任何默认 CA 颁发的，并且如果此新 CA 明确添加为受信任，则浏览器只会自动禁用固定。