SSL证书是否绑定到服务器的IP地址？

Question

SSL证书是否绑定到服务器的IP地址？

90

我们在两个不同的物理办公地点拥有两个不同的LDAP提供者。

当我将我的笔记本电脑连接到一个位置并在WebSphere 6.1中“从端口检索”以导入LDAP提供者的SSL证书时，我可以毫无问题地验证各自的LDAP。如果我将我的笔记本电脑带到另一个办公室（默认使用另一个LDAP提供者），并插入我的笔记本电脑，我的笔记本上的WAS将无法启动，因为它会显示“找不到可信任的SSL证书”。

如果我再次“从端口检索”然后重新导入证书，那么它就可以正常工作。

请注意，我的WAS始终尝试连接一个LDAP，它根本不适用于另一个LDAP。

如果我回到另一个办公室，我会遇到相同的错误，直到我从该位置重新导入。LDAP连接点是ldap.example.com:636，并且在两个位置都可以使用相同的FQDN进行ping测试。

但是当进行ping测试时，它会解析为每个办公室位置的不同IP地址。为什么会出现这种情况？

SSL证书是否与特定的IP地址绑定？

如果是，那么我需要针对每个办公室位置维护不同的证书集，对吗？

请注意，没有办法调整DNS服务器以将主机名解析为相同的IP地址，我已经检查过了。

有人能提供一些见解吗？

- fnCzar

3个回答

7

大多数SSL证书绑定的是机器的主机名而不是IP地址。

- Jared

6

你是指主机名，还是指正在服务的站点的域名？拥有主机名“despair”的服务器可以托管foo.com和bar.net这两个网站。 - dotancohen

27

这并没有回答这个问题。 - Pavlo

4

不，但它确实正确地质疑了答案。 - Gavin Jackson

7

SSL证书通常绑定到主机名而不是IP地址，如果按照标准方式设置，则会出现这种情况。这就是为什么在一个站点上它可以工作而在另一个站点上不能工作的原因。

即使服务器共享相同的主机名，它们很可能有两个不同的证书，因此WebSphere将存在证书信任问题，因为它无法识别第二个服务器上的证书，因为它与第一个服务器上的证书不同。

- mransley

2

其中一位托管服务提供商的技术代理回复说：SSL证书是签发给特定的IP地址的，如果您计划移动使用该SSL证书的站点的IP地址，则需要重新签发证书。 - Bimal Poudel

网页内容由stack overflow 提供, 点击上面的

可以查看英文原文，
原文链接

- Alex · Accepted Answer

SSL证书绑定到一个'通用名称'，通常是完全合格的域名，但也可以是通配符名称（例如*.example.com）甚至是IP地址，但通常不是。

在您的情况下，您通过主机名访问LDAP服务器，听起来您的两个LDAP服务器安装了不同的SSL证书。您能够查看（或下载并查看）SSL证书的详细信息吗？每个SSL证书都将具有唯一的序列号和指纹，这些需要匹配。我假设该证书被拒绝是因为这些细节与您的证书存储中的内容不匹配。

您的解决方案将是确保两个LDAP服务器安装了相同的SSL证书。

顺便说一下 - 您通常可以通过编辑本地的'hosts'文件覆盖工作站上的DNS条目，但我不建议这样做。