IP 地址 1.1.1.1 的 SSL 证书？

Question

IP 地址如何拥有不同颁发的 SSL 证书并且不显示 SSL 错误？

https://1.1.1.1/

上述 CloudFlare 站点已启用 HTTPS，并在地址栏中显示https://1.1.1.1/ 。该证书颁发给 cloudflare-dns.com。

Answer 1

证书可能有多个名称 - X.509 v3 支持名为“Subject Alternative Name”或“subjectAltName”的扩展。该扩展包含一个名称列表，例如在本例中：

DNS Name=cloudflare-dns.com
DNS Name=*.cloudflare-dns.com
DNS Name=one.one.one.one
IP Address=1.1.1.1
IP Address=1.0.0.1
IP Address=162.159.132.53
IP Address=2606:4700:4700:0000:0000:0000:0000:1111
IP Address=2606:4700:4700:0000:0000:0000:0000:1001
IP Address=2606:4700:4700:0000:0000:0000:0000:0064
IP Address=2606:4700:4700:0000:0000:0000:0000:6400
IP Address=162.159.36.1
IP Address=162.159.46.1

在 TLS 中，如果此扩展包含任何 DNS 名称或 IP 地址，则证书对所有这些名称都有效- 此外，它完全覆盖主要主题“CN”字段。

事实上，主要的 Web 浏览器已决定需要subjectAltName 并完全忽略主题“CN”（尽管仅适用于商业 WebPKI 证书，不适用于内部证书）。将来 WebPKI 证书很可能将不再有 CN字段。

（这种切换的原因之一是，几乎所有系统都支持 SAN，因此 CN 几乎不再相关。另一个原因是 subjectAltNames 是强类型的（每个项目都标记为 DNS 域、电子邮件地址或 IP）地址...）而常规主语 CN 是自由格式文本，其含义取决于系统。）