Czy możliwe jest posiadanie certyfikatu SSL dla adresu IP, a nie nazwy domeny?

Chcę, aby moja strona używała adresów URL takich jak http://192.0.2.2/...i https://192.0.2.2/...do treści statycznych, aby uniknąć niepotrzebnych plików cookie w żądaniu ORAZ uniknąć dodatkowego żądania DNS.

Czy istnieje jakiś sposób na uzyskanie certyfikatu SSL w tym celu?

Zgodnie z tą odpowiedzią jest to możliwe, ale rzadko używane.

Jeśli chodzi o to, jak go zdobyć: chciałbym po prostu spróbować zamówić go u wybranego przez ciebie dostawcy i wprowadzić adres IP zamiast domeny podczas procesu zamawiania.

Jednak prowadzenie witryny pod adresem IP w celu uniknięcia wyszukiwania DNS brzmi okropnie jak niepotrzebna mikrooptymalizacja. Zaoszczędzisz co najwyżej kilka milisekund, czyli na wizytę , ponieważ wyniki DNS są buforowane na wielu poziomach.

Nie sądzę, aby twój pomysł miał sens z punktu widzenia optymalizacji.

Krótka odpowiedź brzmi „tak”, o ile jest to publiczny adres IP.

Wydawanie certyfikatów na zastrzeżone adresy IP jest niedozwolone, a wszystkie certyfikaty wcześniej wydane na zastrzeżone adresy IP zostały unieważnione z dniem 1 października 2016 r.

Według forum CA Browser mogą wystąpić problemy ze zgodnością certyfikatów dla adresów IP, chyba że adres IP znajduje się zarówno w polach, jak commonNamei subjectAltName. Wynika to z wcześniejszych implementacji SSL, które nie są dostosowane do RFC 5280, w szczególności systemu operacyjnego Windows wcześniejszego niż Windows 10.

Źródła:

1. Wskazówki dotyczące adresów IP na certyfikatach Forum przeglądarki CA
2. Wymagania podstawowe 1.4.1 CA Browser Forum
3. (Niedługo będzie) nazwa zwyczajowa unmitigatedrisk.com
4. RFC 5280 IETF

_{Uwaga: we wcześniejszej wersji tej odpowiedzi stwierdzono, że wszystkie certyfikaty adresów IP zostaną unieważnione 1 października 2016 r. Dziękujemy Navin za wskazanie błędu.}

Chyba odpowiedź brzmi: tak. Sprawdź na przykład ten link .

Wydawanie certyfikatu SSL na publiczny adres IP

Certyfikat SSL jest zazwyczaj wydawany w pełni kwalifikowanej nazwie domeny (FQDN), takiej jak „ https://www.domain.com ”. Jednak niektóre organizacje potrzebują certyfikatu SSL wydanego na publiczny adres IP. Ta opcja umożliwia określenie publicznego adresu IP jako nazwy pospolitej w żądaniu podpisania certyfikatu (CSR). Wydany certyfikat można następnie wykorzystać do zabezpieczenia połączeń bezpośrednio z publicznym adresem IP (np . Https://123.456.78.99 .).

Tak. Cloudflare używa go do strony głównej instrukcji DNS: https://1.1.1.1

Forum przeglądarki C / A ustala, co jest i nie jest ważne w certyfikacie, a co CA powinien odrzucić.

Zgodnie z dokumentem dotyczącym podstawowych wymagań w zakresie wydawania i zarządzania publicznie zaufanymi certyfikatami urzędy certyfikacji nie mogą od 2015 r. Wydawać certyfikatów, w których pola nazwa zwyczajowa lub nazwa alternatywna zawierają zastrzeżone IP lub nazwę wewnętrzną, gdzie zastrzeżone adresy IP to IP które IANA wymieniła jako zastrzeżone - w tym wszystkie adresy IP NAT - a nazwy wewnętrzne to wszelkie nazwy, które nie są rozpoznawane w publicznym DNS.

MOŻNA użyć publicznych adresów IP (a dokument wymagań podstawowych określa, jakie rodzaje kontroli musi przeprowadzić urząd certyfikacji, aby upewnić się, że wnioskodawca jest właścicielem adresu IP).

Zależy to całkowicie od urzędu certyfikacji, który wydaje certyfikat.

Jeśli chodzi o Let's Encrypt CA, nie wydają certyfikatu TLS na publiczny adres IP. https://community.letsencrypt.org/t/certificate-for-public-ip-without-domain-name/6082

Aby poznać swój urząd certyfikacji, możesz wykonać następujące polecenie i poszukać wpisu oznaczonego poniżej.

curl -v -u <username>:<password> "https://IPaddress/.."