带通配符IP的证书subjectAlternativeName

Question

我需要创建一个证书,该证书将用作隔离LAN中任何随机主机上的TLS服务器权限.我可以在subjectAlternativeName字段中使用IP的一些通配符而不是像10.0.0.255或10.0.0.0/24这样的域吗？

PS局域网中的任何主机都可以是服务器分布式网络的客户端,可以在任何主机上启动,并连接到负载balanser后面的流体动态贪婪,管理此折痕网络中的连接)

Answer 1

这是RFC 2818(假设您正在谈论HTTPS)必须对此说:

In some cases, the URI is specified as an IP address rather than a 
hostname. In this case, the iPAddress subjectAltName must be present  
in the certificate and must exactly match the IP in the URI.

这将排除使用通配符或子网表示法.

最新的RFC 6125旨在协调其他协议的识别,明确地从其范围中排除IP地址.

话虽如此,您可能会发现有一些不合规的客户端有自己的解释(例如,有些允许在主题DN的CN中使用IP地址).我不建议一般指望它.

您想要在所谓的"隔离LAN"上使用TLS似乎有点令人惊讶.此外,如果您控制该LAN,则可以为计算机分配名称并使用主机名matchine.