"每个SSL证书需要专用IP"究竟是什么意思？

Question

我已经阅读了一些关于SSL证书的内容,特别是我读过SSL证书"需要一个专用的IP地址".现在,我不确定这个意思; 这是否意味着证书需要与用于正常HTTP通信的IP地址分开的专用IP地址,或者只是它不能与其他SSL证书共享IP地址？

为了澄清,我有一个带有专用IP地址的VPS.VPS托管了很多不同的站点,包括主站点的几个子域,但只有主站点和子域需要SSL.我是否可以使用当前的IP地址为*.example.com购买SSL证书,或者我是否需要获得与VPS上其他站点分开的SSL证书？或者更糟糕的是,我是否需要获得与服务器上所有HTTP流量分开的服务？请记住,其他任何网站都不需要SSL.

感谢您对该主题的任何澄清.

---

编辑:我担心的一些消息来源:

http://symbiosis.bytemark.co.uk/docs/symbiosis.html#ch-ssl-hosting

是否有必要使用专用IP地址来安装SSL证书？

Answer 1

1. 没有"SSL证书"这样的东西.该术语具有误导性.X.509证书可以用于不同目的(由其密钥用法和扩展密钥用法"属性"定义),特别是用于保护SSL/TLS会话.

2. 证书对套接字,地址和端口不需要任何内容​​,因为证书是纯数据.

3. 在使用TLS保护某些连接时,通常使用证书来验证服务器(有时是客户端).每个IP /端口有一个服务器,因此通常服务器选择使用哪个证书没有问题.

   HTTPS是例外 - 几个不同的域名可以引用一个IP,而客户端(通常是浏览器)连接到不同域名的同一服务器.域名在请求中传递给服务器,在 TLS握手之后.

   这就是问题出现的地方 - Web服务器不知道要出示哪个证书.为了解决这个问题,在TLS中添加了一个新的扩展名,名为SNI(服务器名称指示).但是,并非所有客户都支持它.因此,一般来说,每个域的每个IP /端口都有一个专用服务器是个好主意.换句话说,客户端可以使用HTTPS连接的每个域应该有自己的IP地址(或不同的端口,但这不常见).

Answer 2

SSL证书不需要专用IP地址.SSL证书存储所谓的通用名称.浏览器将此通用名称解释为与其通信的服务器的DNS名称.如果公用名与浏览器正在与之通信的服务器的DNS名称不匹配,则浏览器将发出警告.

您可以获得所谓的通配符证书,该证书可以被特定域内的所有主机使用.