是否可以获得IP地址的SSL证书,而不是域名？

Question

我希望我的网站使用类似http://192.0.2.2/...和https://192.0.2.2/...静态内容的URL ,以避免请求中不必要的cookie并避免额外的DNS请求.

有没有办法为此目的获得SSL证书？

Answer 1

根据这个答案,它是可能的,但很少使用.

至于如何获得它:我倾向于尝试用您选择的提供商订购一个,并在订购过程中输入IP地址而不是域.

但是,在IP地址上运行站点以避免DNS查找听起来非常像对我不必要的微优化.您最多可以节省几毫秒,这是每次访问,因为DNS结果缓存在多个级别上.

从优化角度来看,我认为你的想法没有意义.

Answer 2

简短的回答是肯定的,只要它是一个公共IP地址.

不允许向保留的IP地址颁发证书,并且自2016年10月1日起,所有先前发布到保留IP地址的证书都被撤销.

根据CA浏览器论坛,除非IP地址同时位于commonName和subjectAltName字段中,否则IP地址证书可能存在兼容性问题.这是由于传统的SSL实现与RFC 5280不一致,特别是Windows 10之前的Windows操作系统.

资料来源:

1. 证书 CA浏览器论坛中的 IP地址指南
2. 基准要求1.4.1 CA浏览器论坛
3. (很快就会)不那么普通的名字 unmitigatedrisk.com
4. RFC 5280 IETF

_{注意:此答案的早期版本声明所有IP地址证书将于2016年10月1日撤销.感谢Navin指出错误.}

Answer 3

我想答案是肯定的.例如,检查此链接.

向公共IP地址颁发SSL证书

SSL证书通常发布到完全限定域名(FQDN),例如" https://www.domain.com ".但是,某些组织需要颁发颁发给公共IP地址的SSL证书.此选项允许您在证书签名请求(CSR)中将公共IP地址指定为公共名称.然后,可以使用颁发的证书来直接保护与公共IP地址的连接(例如,https://123.456.78.99.).

Answer 4

是的.Cloudflare将其用于其DNS指令主页:https://1.1.1.1

Answer 5

这完全取决于颁发证书的证书颁发机构。

就 Let's Encrypt CA 而言，他们不会在公共 IP 地址上颁发 TLS 证书。 https://community.letsencrypt.org/t/certificate-for-public-ip-without-domain-name/6082

要了解您的证书颁发机构，您可以执行以下命令并查找下面标记的条目。

curl -v -u <username>:<password> "https://IPaddress/.."

Answer 6

答案是肯定的。简而言之，它是一个主题备用名称 (SAN) 证书，其中包含您通常会看到 DNS 条目的 IP。证书类型不限于公共 IP - 该限制仅由签名机构而非技术施加。我只是想澄清这一点。我怀疑您真的只是想摆脱内部网站和设备上令人讨厌的不安全提示，而无需为它们提供 DNS 名称，然后每年或两年支付 CA 颁发证书的费用和麻烦。您不应该试图让全世界相信您的 IP 地址是一个信誉良好的网站，人们应该可以放心地提供他们的付款信息。既然我们已经确定了为什么没有信誉良好的组织想要颁发此类证书，让我们自己使用自签名的 SAN 证书来完成。在内部，我有一个部署到我们所有主机的可信证书，然后我用它签署这种类型的证书，所有设备都变得可信。在这里这样做超出了问题的范围，但我认为它与讨论相关，因为问题和解决方案是齐头并进的。简而言之，这里是如何使用 IP 地址生成单独的自签名 SAN 证书。展开 IP 列表以包括您的整个子网，并为所有内容使用一个证书。以下是如何使用 IP 地址生成单独的自签名 SAN 证书。展开 IP 列表以包括您的整个子网，并为所有内容使用一个证书。以下是如何使用 IP 地址生成单独的自签名 SAN 证书。展开 IP 列表以包括您的整个子网，并为所有内容使用一个证书。

#!/bin/bash
#using: OpenSSL 1.1.1c FIPS  28 May 2019 / CentOS Linux release 8.2.2004

C=US ; ST=Confusion ; L=Anywhere ; O=Private\ Subnet ; EMAIL=admin@company.com
BITS=2048
CN=RFC1918
DOM=company.com
SUBJ="/C=$C/ST=$ST/L=$L/O=$O/CN=$CN.$DOM"

openssl genrsa -out ip.key $BITS

SAN='\n[SAN]\nsubjectAltName=IP:192.168.1.0,IP:192.168.1.1,IP:192.168.1.2,IP:192.168.1.3,IP:192.168.1.4,IP:192.168.1.5,IP:192.168.1.6,IP:192.168.1.7,IP:192.168.1.8,IP:192.168.1.9,IP:192.168.1.10'

cp /etc/pki/tls/openssl.cnf /tmp/openssl.cnf
echo -e "$SAN" >> /tmp/openssl.cnf

openssl req -subj "$SUBJ" -new -x509 -days 10950 \
    -key ip.key -out ip.crt -batch \
    -set_serial 168933982 \
    -config /tmp/openssl.cnf \
    -extensions SAN

openssl x509 -in ip.crt -noout -text

Answer 7

C/A 浏览器论坛设置证书中什么是有效的和无效的，以及 CA 应该拒绝什么。

根据其发布和管理公共信任证书文件的基线要求，自 2015 年起，CA 不得颁发公共名称或公共备用名称字段包含保留 IP 或内部名称的证书，其中保留 IP 地址为 IP IANA 列为保留的名称 - 包括所有 NAT IP - 内部名称是任何未在公共 DNS 上解析的名称。

可以使用公共 IP 地址（并​​且基线要求文档指定 CA 必须执行哪些类型的检查以确保申请人拥有 IP）。