înregistrare Logare
Puncte:0
Vitalydotn avatar Server

Eroare de certificat SSL atunci când nu introduceți FQDN și vă bazați pe domeniul de căutare implicit

drapel tr
Vitalydotn

DNS și SSL nu sunt cu adevărat în timoneria mea mai mult decât o înțelegere rudimentară, sper că ceea ce vreau să fac să nu fie imposibil!

Iată situația:

  • Avem un domeniu intern și servere DNS, să-i spunem inside-company.com
  • Migrem de la certificate autosemnate și am cumpărat un certificat DV wildcard pentru *.inside-company.com -- Toate acestea sunt orientate spre interior, astfel încât DV este suficient
  • Majoritatea utilizatorilor se bazează pe domeniul și tipul de căutare implicit cerere/ sau https://aplicație în browserele lor web în loc de FQDN

Ceea ce pare să se întâmple acum, după cum pot să spun, este:

  1. Browserul face interogări DNS și rezolvă IP-ul
  2. Browserul încarcă IP-ul și verifică numele SSL
  3. Browserul vomita net::ERR_CERT_COMMON_NAME_INVALID Acest server nu a putut dovedi că este aplicație; certificatul său de securitate este de la *.inside-company.com., presupun pentru că nu a rescris încă adresa URL în bara de adrese cu FQDN (și într-adevăr bara de adrese încă arată https://application/ in acest punct)

Se poate face ceva aici? Reeducarea utilizatorilor pentru a utiliza FQDN nu este cu adevărat o opțiune viabilă. Se întâmplă în toate browserele. Tocmai am dat verbiajul Chrome pentru eroare.

De asemenea, motivul pentru care am primit un certificat wildcard este că există sute de certificate autosemnate pe care le convertim, cumpărând unul pe aplicație sau chiar unul pe server ar fi un cost prohibitiv.

Mulțumiri!

305
0 + 0
drapel in
Gerald Schneider
Aveți nevoie de un certificat care să aibă numele serverului fără FQDN ca SAN.
0
Răspunde
Patrick Mevzek avatar
drapel cn
Patrick Mevzek
@GeraldSchneider „Aveți nevoie de un certificat care să aibă numele serverului fără FQDN ca SAN.” Ceea ce cu siguranță nu va fi posibil prin utilizarea unui CA public. Asta înseamnă un CA intern. Utilizatorul a spus „a cumpărat un DB wildcard”, așa că presupun că folosesc un CA extern.
1
Răspunde
Patrick Mevzek avatar
drapel cn
Patrick Mevzek
„Se poate face ceva aici?” Adevărata soluție, care nu vă va mulțumi, ar fi: „nu vă mai bazați pe listele de căutare la nivel DNS” pentru că vor crea o mulțime de alte probleme, chiar dacă par drăguțe utilizatorilor . În caz contrar, cel puțin în cazul traficului HTTP (nu SSL), ați putea configura serverele dvs. web să facă imediat o redirecționare de la numele scurt la noul nume (FQDN) și apoi HTTPS acolo. Nu este idee pentru că îți lipsește HTTPS la primul pas. Clientul nu/nu poate rescrie URL-ul deoarece a primit un IP de la DNS și doar se conectează acolo și numai după aceea îl poate rescrie dacă a primit o redirecționare.
1
Răspunde
Patrick Mevzek avatar
drapel cn
Patrick Mevzek
„cumpărarea unei aplicații sau chiar a unuia pe server ar fi un cost prohibitiv”. Știți că sunt CA publice care livrează certificate gratuit?
0
Răspunde
Patrick Mevzek avatar
drapel cn
Patrick Mevzek
De asemenea, probabil că ați putea crea un fel de soluție folosind echivalentul „configurației” `wpad.dat`, pe care va trebui să o întrețineți pentru toate browserele din flota dvs., astfel încât 1) toate numele „scurte” să fie trimise proxy unui anumit server web. controlați 2) aveți certificate adecvate (locale) pentru toate acele nume de pe această casetă 3) acest server web va face redirecționări către numele complet, iar browserele se vor ocupa de tot. Cu totuși consecința tristă a potențialului multă întreținere, pentru a actualiza regulile odată ce utilizați nume noi (pentru a vă asigura că acestea merg la proxy).
0
Răspunde
Puncte:0
avatar Server
drapel in
Gerald Schneider

Aveți nevoie de un certificat care să aibă numele serverului fără FQDN ca SAN. Acesta este singurul mod de a preveni erorile de certificat atunci când serverul este accesat fără FQDN.

Puteți face asta destul de ușor prin crearea propriei autorități de certificare (CA).

Un CA simplu poate fi creat cu instrumente precum Easy RSA. După crearea certificatului CA, trebuie să implementați certificatul CA tuturor clienților dumneavoastră. Aceasta este partea care lucrează cel mai mult, dar chiar și aceasta poate fi automatizată (de exemplu, folosind Politici de grup dacă utilizați un domeniu Windows). După ce fiecare client are certificatul CA instalat și are încredere în el, puteți crea orice certificat doriți cu CA.

Bonus: Când certificatul pe care l-ați cumpărat expiră, nu trebuie să cumpărați unul nou. Poți să-ți creezi doar propriul tău.

0 + 0
drapel romania
SEF 777
întrebarea această in alte limbi:

Postează un răspuns

Majoritatea oamenilor nu înțeleg că a pune multe întrebări deblochează învățarea și îmbunătățește legătura interpersonală. În studiile lui Alison, de exemplu, deși oamenii își puteau aminti cu exactitate câte întrebări au fost puse în conversațiile lor, ei nu au intuit legătura dintre întrebări și apreciere. În patru studii, în care participanții au fost implicați în conversații ei înșiși sau au citit transcrieri ale conversațiilor altora, oamenii au avut tendința să nu realizeze că întrebarea ar influența – sau ar fi influențat – nivelul de prietenie dintre conversatori.