Ich erstelle einen Websocket-Server, der weiterleben wird ws.mysite.example. Ich möchte, dass der Web-Socket-Server sowohl SSL-verschlüsselt als auch domain.exampleSSL-verschlüsselt ist. Muss ich für jede von mir erstellte Subdomain ein neues Zertifikat erwerben? Benötige ich eine dedizierte IP-Adresse für jede Subdomain, die ich erstelle? Ich werde wahrscheinlich mehr als eine Subdomain haben.
Ich benutze NGINX und Gunicorn unter Ubuntu.
Antworten:
Ich werde dies in zwei Schritten beantworten ...
Benötigen Sie ein SSL-Zertifikat für jede Subdomain?
Ja und Nein, es kommt darauf an. Ihr Standard-SSL-Zertifikat gilt beispielsweise für eine einzelne Domain www.domain.example. Es gibt verschiedene Arten von Zertifikaten, die Sie neben dem Standardzertifikat für eine einzelne Domain verwenden können: Wildcard- und Multi-Domain-Zertifikate.
Ein Wildcard-CERT wird wie etwas ausgestellt *.domain.exampleund Kunden werden dies für jede Domain als gültig behandeln , die Ende mit domain.example, wie www.domain.exampleoder ws.domain.example.
Ein Multi-Domain-Zertifikat gilt für eine vordefinierte Liste von Domainnamen. Hierzu wird das Feld "Alternativer Antragstellername" des Zertifikats verwendet. Sie können beispielsweise einer Zertifizierungsstelle mitteilen, dass Sie ein Multi-Domain-Zertifikat für domain.exampleund wünschen ws.mysite.example. Dies würde die Verwendung für beide Domainnamen ermöglichen.
Wenn keine dieser Optionen für Sie funktioniert, benötigen Sie zwei verschiedene SSL-Zertifikate.
Benötige ich eine dedizierte IP für jede Subdomain?
Auch dies ist ein Ja und ein Nein. Es hängt alles von Ihrem Web- / Anwendungsserver ab. Ich bin ein Windows-Typ, daher werde ich mit IIS-Beispielen antworten.
Wenn Sie IIS7 oder älter ausführen, müssen Sie SSL-Zertifikate an eine IP binden, und Sie können nicht mehrere Zertifikate einer einzelnen IP zuweisen. Dies führt dazu, dass Sie für jede Subdomain eine andere IP benötigen, wenn Sie für jede Subdomain ein dediziertes SSL-Zertifikat verwenden. Wenn Sie ein Multi-Domain-Zertifikat oder ein Wildcard-Zertifikat verwenden, können Sie mit der einzelnen IP-Adresse davonkommen, da Sie zunächst nur ein SSL-Zertifikat haben.
Wenn Sie IIS8 oder höher ausführen, gilt dasselbe. IIS8 + bietet jedoch Unterstützung für sogenannte Server Name Indication (SNI). Mit SNI können Sie ein SSL-Zertifikat an einen Hostnamen und nicht an eine IP binden. Der für die Anforderung verwendete Hostname (Servername) gibt an, welches SSL-Zertifikat IIS für die Anforderung verwenden soll.
Wenn Sie eine einzelne IP-Adresse verwenden, können Sie Websites so konfigurieren, dass sie auf Anforderungen für bestimmte Hostnamen reagieren.
Ich weiß, dass Apache und Tomcat auch SNI unterstützen, aber ich kenne sie nicht genug, um zu wissen, welche Versionen dies unterstützen.
Endeffekt
Abhängig von Ihrer Anwendung / Ihrem Webserver und der Art der SSL-Zertifikate, die Sie erhalten können, bestimmen Sie Ihre Optionen.
abc.def.domain.com, ist das auch der Fall?
Sie können ein Zertifikat für jede Unterdomäne, ein Zertifikat für mehrere Unterdomänen oder ein Platzhalterzertifikat (für *.yoursite.example) erhalten.
Sie kosten jedoch in der Regel einiges mehr als normale Zertifikate, und da Sie ein einzelnes Zertifikat gemeinsam verwenden, sind sie aus Sicherheitsgründen in der Regel nicht die beste Option, es sei denn, Sie hosten einen anything.mydomain.exampleAnwendungstyp, bei dem sie die einzige praktikable Option sind.
Sie benötigen auch nicht mehrere IP-Adressen, wenn Sie einen SNI-fähigen Webserver haben . Das heißt, SNI wird nur in modernen Browsern unterstützt (IE6 und niedriger funktionieren damit nicht). Aktuelle Versionen von Nginx und Apache unterstützen SNI transparent (fügen Sie einfach SSL-fähige virtuelle Hosts hinzu).
Sie benötigen entweder ein separates Zertifikat für jede Subdomain oder Sie können ein Wildcard-Zertifikat ( *.domain.example) erwerben - teurer, aber sinnvoll, wenn Sie viele Subdomains hosten.
In Bezug auf IPs hängt es davon ab, wie Sie Ihren Server einrichten. Sie können Hostnamenregeln verwenden, um mehrere Sites von derselben IP-Adresse aus zu bedienen, oder eindeutige IP-Adressen für jede einzelne verwenden. Beide Methoden haben Vor- und Nachteile.