创建 SSL 证书时，公用名应该是域名还是 IP 地址？

Question

我运行这个命令来创建一个证书：

sudo openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout /etc/ssl/private/apache-selfsigned.key -out /etc/ssl/certs/apache-selfsigned.crt

它要求我填写如下所示的信息：

• 国家名称（2 个字母代码）[AU]:US
• 州或省名称（完整 名称）[某些州]：纽约
• 地区名称（例如，城市）[]：纽约市
• 组织名称（例如，公司）[Internet Widgits Pty Ltd]:Test, Inc.
• 组织单位名称（例如，部门）[]：水滑道部
• 通用名称（例如服务器 FQDN 或您的姓名）[]：应该是域名还是 IP 地址？
• 电子邮件地址 []:admin@your_domain.com

Answer 1

服务器证书的通用名称与现代 TLS 堆栈无关。相反，必须使用主题备用名称。 CN 被认为已经过时，主流浏览器（Google Chrome 和相关浏览器）甚至不会考虑 CN 中的内容。

在 SAN 中，需要提供用于访问站点的名称。这意味着如果 URL 是 https://domain/，那么 domain 必须用作 SAN 类型的 DNSName。如果 URL 改为 https://ip/，则 ip 必须与 SAN 类型 IPAddr 一起使用。对于域，也可以使用通配符，但在最左边的标签中只能使用一个通配符。