web-dev-qa-db-ja.com

外部ドメイン名と内部ドメイン名にはどのSSL証明書が必要ですか？

これは学校のネットワークです。

公式（到達可能なドメイン名以外）はbgschwechat.ac.at（www.bgschwechat ...、mail.bgschwechat ...、およびftp.bgschwechat ..）です。

内部的には、Windowsドメインの名前はbgs.ac.atです。

WebサーバーとExchange-Serverには（おそらく安価な）SSL証明書が必要です

ファイアウォール（www.bgschwechat.ac.at）（Sophos UTM9）から、リクエストは仮想マシンにNATされます-一部のリクエストにはSSLが必要です

  • Webサーバー（CENTOSを実行-www.bgschwechat.ac.at）
  • Exchange Server（xch.bgs.ac.atという名前）には、NAT as mail.bgschwechat.ac.at asmail.bgschwechat.ac.at）経由でアクセスできる必要があります。
  • WSUSサーバー（dc2.bgs.ac.at）-内部クライアントのみ

私の質問：どのような種類のSSL証明書を保護する必要がありますか。両方のドメイン（bgschwechat.ac.atおよびbgs.ac.at）。たとえば、mail.bgschwechat.ac.atからxch.bgs.ac.atにNATを実行すると、外部から保護されているように見えますか？

または、内部ドメインの名前を公式ドメイン名に変更する必要がありますか？

...そのような証明書をどこで購入するかをお勧めしますか？

sslexchangenat
1
reinhardS

ここでは* .ac.atのワイルドカード証明書を取得しないと思います;）

両方のドメイン名を持つ証明書は、multidomain-certificateと呼ばれ、この場合はbgs.ac.atとbgschwechat.ac.atです。さらに、*bgs.ac.atおよび*bgschwechat.ac.atにはワイルドカード証明書が必要です。 Subject Alternative Namesを使用して、すべての名前を1つの証明書に含めることができます。

構成ファイルを使用して、OpenSSLでこのような証明書を生成できます。

openssl req -new -out bgschwechat.ac.at.csr -key bgschwechat.ac.at.key -config bgschwechat.ac.at.cnf

によって生成された既存のキーbgschwechat.ac.at.keyを使用する

openssl genrsa 4096 -out bgschwechat.ac.at.key

次のbgschwechat.ac.at.cnfを使用します。

[req]
distinguished_name = req_distinguished_name
default_bits           = 4096
req_extensions = v3_req

[ v3_req ]
basicConstraints = CA:FALSE
keyUsage = nonRepudiation, digitalSignature, keyEncipherment
subjectAltName = @alt_names

[alt_names]
DNS.1 = bgschwechat.ac.at
DNS.2 = *.bgschwechat.ac.at
DNS.3 = bgs.ac.at
DNS.4 = *.bgs.ac.at

[ req_distinguished_name ]
countryName = Country Name (2 letter code)
stateOrProvinceName = State or Province Name (full name)
localityName = Locality Name (eg, city)
organizationalUnitName  = Organizational Unit Name (eg, section)
countryName_default = AT
stateOrProvinceName_default = Niederoesterreich
localityName_default = Schwechat
organizationalUnitName_default = BG Schwechat
commonName = Common Name (CN)
commonName_default = bgschwechat.ac.at
emailAddress_default = [email protected]

ここでは、2つの単純なドメイン証明書と2つのワイルドカードを支払う必要があります。したがって、内部で使用されているドメイン名の名前を変更する（またはHTTPを使用してリダイレクトする）方が間違いなく安価です。ワイルドカードの代わりに、すべてのサブドメイン（メール、wwwなど）を代替ドメインのリストに追加することもできます。

内部ドメインbgs.ac.atを保護したくない場合は、それを省略できます。

on「解決可能な外部」アドレスのみ？：すべてのCAは独自のルールを定義できます。ほとんどの場合、CAの場合と同様に、これはお金の問題です。通常、CAは解決できないアドレスに対して証明書を発行しません（追加料金を支払った場合のみ）。 bgs.ac.atは解決できないため、簡単に証明書を取得することはできません。内部でのみ使用される場合は、自己署名証明書を発行して、すべてのコンピューターに展開することもできます。

何かを購入する場所に関する推奨事項は、Serverfaultでは off-topic です。

5
sebix