使用通配符证书的WCF服务给出DNS身份错误

Question

我有一个WCF Web服务,设置为使用基于消息的安全性.该服务使用通配符证书来保护邮件:*.domain.com

续订SSL证书后,该服务现在抛出以下错误:

"传出消息的身份检查失败.远程端点的预期DNS身份是'*.domain.com',但远程端点提供了DNS声明'domain.com'...."

如何解决这个问题,以便服务仍然以*.domain.com作为DNS声明进行响应？

遗憾的是,更新客户端配置并不是通过DNS标识属性使用新DNS声明的实际选择.

谢谢,马克

Answer 1

这是WCF中的一个错误.如果阻塞问题,请访问连接站点并进行upvote.http://connect.microsoft.com/wcf/feedback/details/683178/wcf-x509-certificate-validation-only-checks-last-dnsname-in-subject-alternative-name

Answer 2

结果发现问题出在通配符证书上的 SAN 列表上。域的列出顺序为：

*.domain.com
domain.com

WCF 基本上总是解析 SAN 列表中的最后一项。我确实偶然发现了几篇 Office Communicator 也有类似问题的文章。我不确定这是否是 WCF 错误。

我的解决方案是要求证书颁发机构为我生成一个不带 SAN 属性的通配符证书。