☰

哪种 SSL 证书支持外部和内部域名？

tag-icon • tag-icon ssl exchange nat
哪种 SSL 证书支持外部和内部域名？

这是一个校园网络。

官方网站（外部可访问域名）是bgschwechat.ac.at（www.bgschwechat...、mail.bgschwechat... 和 ftp.bgschwechat..）

在内部，Windows 域名为 bgs.ac.at

我们需要（可能很便宜的）用于 Web 服务器和 Exchange 服务器的 SSL 证书

从我们的防火墙 (www.bgschwechat.ac.at) (Sophos UTM9) 发出的请求通过 NAT 传输到虚拟机 - 其中一些需要 SSL

  • 网络服务器（运行 CENTOS - www.bgschwechat.ac.at）
  • Exchange 服务器（名为 xch.bgs.ac.at）应该可以通过 NAT 作为 mail.bgschwechat.ac.at 访问
  • WSUS 服务器 (dc2.bgs.ac.at) - 仅适用于内部客户端

我的问题：我们需要什么样的 SSL 证书来保护两个域名（bgschwechat.ac.at 和 bgs.ac.at），以便在进行 NATTING 时（例如将 mail.bgschwechat.ac.at 更改为 xch.bgs.ac.at）它们从外部看起来是安全的？

或者说我们需要将内部域名改名为官方域名吗？

...建议在哪里购买这样的证书？

答案1

我认为您不会在这里获得 *.ac.at 的通配符证书；)

带有两个域名的证书称为多域证书，在你的情况下bgs.ac.at和bgschwechat.ac.at。此外你还需要通配符证书和*.bgs.ac.at。*.bgschwechat.ac.at所有名称都可以在一个证书中使用主题备用名称。

您可以使用配置文件通过 OpenSSL 生成这样的证书：

openssl req -new -out bgschwechat.ac.at.csr -key bgschwechat.ac.at.key -config bgschwechat.ac.at.cnf

bgschwechat.ac.at.key使用由以下程序生成的现有密钥

openssl genrsa 4096 -out bgschwechat.ac.at.key

并使用以下内容bgschwechat.ac.at.cnf：

[req]
distinguished_name = req_distinguished_name
default_bits           = 4096
req_extensions = v3_req

[ v3_req ]
basicConstraints = CA:FALSE
keyUsage = nonRepudiation, digitalSignature, keyEncipherment
subjectAltName = @alt_names

[alt_names]
DNS.1 = bgschwechat.ac.at
DNS.2 = *.bgschwechat.ac.at
DNS.3 = bgs.ac.at
DNS.4 = *.bgs.ac.at

[ req_distinguished_name ]
countryName = Country Name (2 letter code)
stateOrProvinceName = State or Province Name (full name)
localityName = Locality Name (eg, city)
organizationalUnitName  = Organizational Unit Name (eg, section)
countryName_default = AT
stateOrProvinceName_default = Niederoesterreich
localityName_default = Schwechat
organizationalUnitName_default = BG Schwechat
commonName = Common Name (CN)
commonName_default = bgschwechat.ac.at
emailAddress_default = [email protected]

您需要支付 2 个简单域名证书以及 2 个通配符。因此，重命名内部使用的域名（或使用 HTTP 重定向）肯定更便宜。除了通配符，您还可以将所有子域名（邮件、www 等）添加到备用域名列表中。

如果您不想保护您的内部域bgs.ac.at，您可以忽略这一点。

在仅“外部可解析”地址？：每个 CA 都可以定义自己的规则。在大多数情况下，这是一个金钱问题，就像 CA 一样。通常 CA 不会为无法解析的地址颁发证书（除非您支付更多费用）。由于 bgs.ac.at 无法解析，因此您不会轻易获得证书。如果它仅在内部使用，您还可以颁发自签名证书并将其部署在每台计算机上。

关于在哪里购买东西的建议是无关在 Serverfault 上。

相关内容