google-chrome - 为什么我必须在我的证书 SAN 中使用 DNS.1 = localhost 才能让 Chrome 接受它

Question

我们正在创建一个 CA 签名证书，以便我们通过 HTTPS 与某些嵌入式控制器通信

如果我们只包含一个通用名称，Chrome 会将其标记为不安全，但允许我们点击。

但是，如果我们在配置文件中添加以下 SAN 条目

[alt_names] 
IP.1   = 192.168.61.30 
IP.2   = 192.168.61.31 
IP.3   = 192.168.61.32

Chrome 抱怨信息与服务器不一致，因此访问服务器页面不安全。

我们通过添加另一个 SAN 条目来解决它，如下所示

[alt_names]
DNS.1 = localhost
IP.1   = 192.168.61.30
IP.2   = 192.168.61.31
IP.3   = 192.168.61.32

然后Chrome接受证书，我们就可以正常访问网页了

DNS.1 条目在做什么，为什么需要它？

Answer 1

没有关于如何访问服务器的信息。我猜你正试图以https://localhost的身份访问它：对吗？

无论如何，Chrome 浏览器会尝试将您正在访问的主机名与所有 SAN 属性以及服务器证书的 CN 进行匹配。

如果它不能与这些属性中的任何一个匹配，则会触发不安全错误，因为 Chrome 无法信任提供的服务器凭据。