在沒有任何警告消息的情況下爲專用網絡創建SSL證書

Question

我們在運行IIS7 php webapp的本地業務網絡上有一臺服務器，該服務器通過公共域http://ourinternalnetwork/向整個建築物內的其他客戶機提供服務。我只是想知道是否有人知道如何通過Chrome訪問https://ourinternalnetwork/的客戶端計算機上安裝自簽名證書而沒有任何警告消息。

如果能解決這個問題，我們可以手動更改每臺客戶端機器？但僅僅是以特定的方式在服務器上安裝它的情況？

提前致謝！

Answer 1

要避免自簽名證書的警告，您將不得不要求您的客戶「安裝證書」。根據用戶使用的操作系統，他們將不得不做不同的事情。

此外，因爲鉻58你需要確保服務器的證書包含正確的DNS和/或IP進入/條目的SubjectAltName，哪怕它只是一臺主機。

的Mac OS X

由於瀏覽器不顯示證書選項旁邊的網址了，你的用戶將不得不打開開發者工具（選件+指令+ I），然後轉到「安全「 標籤。然後單擊「查看證書」，然後拖動證書圖像並將其放到任何文件夾中。

接下來，雙擊已保存的cer文件，鑰匙串訪問將打開。

選擇一個鑰匙串來存儲它，然後點擊「始終信任」。

如果沒有問您要保存的位置或者您應該信任它，請找到新添加的證書（它應該位於列表的頂部），右鍵單擊它，選擇「獲取信息」，然後在「使用此證書時」的「信任」選項卡中選擇「始終信任」。

你可以用這樣的腳本自動完成：

sudo security add-trusted-cert -p ssl -d -r trustRoot -k ~/Library/Keychains/login.keychain selfsigned.crt 

的Windows

按照相同的步驟，在OS X上下載證書，然後單擊開始並運行命令certmgr.msc

展開樹以獲取受信任的根證書頒發機構|證書。轉至所有任務，選擇導入並導入相關證書。

Answer 2

在Windows上，你可以編寫腳本此使用以下命令：

certutil -addstore Root C:\windows\temp\selfsigned.crt 

selfsigned.crt將是PEM編碼的證書安裝。

我已經使用了幾年，但是如果您將證書複製到每臺機器並運行該證書，則應視爲可信。理想情況下，證書將由您的IIS證書頒發機構簽署，以便您可以在每臺機器上簡單地安裝自簽名的根CA證書，然後任何由其簽署的證書將自動受信任。