无需互联网访问的内部网络中的受信任 SSL

Question

我有一台 Raspberry PI 3 作为 WiFi 网络的路由器。
它可以不接入互联网。
我在这个树莓派上运行 Android/iOS 应用程序的后端。
我希望通过 SSL 连接前端，以排除连接到此 WiFi 的其他人的任何监视。

问题：

1. Android/iOS 不允许我使用自签名证书连接到 ssl。
2. 我可以通过创建自己的 CA 并将其加载到手机上来解决这个问题，但每个想要使用我的应用程序的人都必须下载 CA 并加载它。（这有点令人沮丧......）
3. 可能可以通过购买证书（或使用 LE，但有时会失败，因为我将部署数千个树莓派……那时很难管理）来解决这个问题。
4. 我没有该树莓派的域名。我可以将其添加到我的 DNS 服务器，但如果没有互联网连接，它将无法访问。
5. 因此我可以使用 bind9 在 raspberry 上创建 DNS 服务器来收集除我的域之外的其他条目。

真的那么难吗？没有更简单的方法吗？
比如使用 SSL 的 WiFi？

Answer 1

您有两个选择：

• 推出自己的 CA
• 获取域名并获取子域名的证书（即来自 letsencrypt），这些子域名在互联网上有指向在线服务器的 A 记录，以及指向 LAN dns 上的 LAN 设备的 A 记录。然后从您的互联网服务器复制证书。当您使用 letsencrypt dns-01 方法时，您可能能够将全局 A 记录与 LAN ips 一起使用，但我没有测试过这一点。