와일드 카드 SSL 및 CNAME

Question

나는 아마존 EC2 ELB를 사용하고 ELB의 공용 DNS를 참조 CNAME을 사용하여 자신의 추천 다음입니다 :

$ nslookup qa.mydomain.com 
Server:  192.168.1.1 
Address: 192.168.1.1#53 

Non-authoritative answer: 
qa.mydomain.com canonical name = mydomain-20530xxxx.us-west-1.elb.amazonaws.com. 
Name: mydomain-20530xxxx.us-west-1.elb.amazonaws.com 
Address: 50.18.xxx.yyy 

내가 내 모든 하위 도메인을 보호하기 위해 와일드 카드의 SSL 인증서를 구입합니다. 따라서 인증서는 *.mydomain.com에 발행되었습니다. 그러나 qa.mydomain.com을 방문하면 모든 브라우저에서 보안 위협이 있습니다. Chrome에있는 메시지에서 https://qa.mydomain.com에 액세스하려고 시도하면 다음과 같습니다.

Chrome : mydomain-20530xxxx.us-west-1.elb.amazonaws.com에 도달하려고 시도했지만 실제로는 자신을 식별하는 서버에 도달했습니다. * .mydomain.com. 이 문제는 서버의 구성 오류 또는 더 심각한 문제로 인해 발생할 수 있습니다.

잘못된 방식입니까? CNAME을 PKI/SSL과 호환 할 수 없습니까? 내 옵션은 무엇입니까?

감사합니다.

추신 : 여기 주소가 qa.mydomain.com 인 경우 을 수행 한 보고서입니다. 분명히 실제 도메인 이름과 결과는 보안을 위해 마스크되었습니다.

$ dig qa.mydomain.com 

; <<>> DiG 9.8.1-P1 <<>> qa.mydomain.com 
;; global options: +cmd 
;; Got answer: 
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 961 
;; flags: qr rd ra; QUERY: 1, ANSWER: 2, AUTHORITY: 0, ADDITIONAL: 0 

;; QUESTION SECTION: 
;qa.mydomain.com.  IN A 

;; ANSWER SECTION: 
qa.mydomain.com. 1670 IN CNAME mydomain-205300xxxx.us-west-1.elb.amazonaws.com. 
mydomain-205300xxxx.us-west-1.elb.amazonaws.com. 60 IN A 50.18.xxx.yyy 

;; Query time: 105 msec 
;; SERVER: 192.168.1.1#53(192.168.1.1) 
;; WHEN: Thu Aug 9 14:05:31 2012 
;; MSG SIZE rcvd: 121 

Answer 1

IP 주소 확인이 CNAME 또는 A DNS 항목에서 제공되는지 여부는 인증서 이름 확인에 영향을주지 않습니다.

URL에서 요청할 때 이름이 인증서의 항목 중 하나와 일치한다는 점이 중요합니다.

즉, 인증서에 주체 대체 이름 항목이 있으면 그 중 하나가 사용자가 요청한 호스트 이름과 일치해야합니다. SAN DNS 항목이 없으면 주체 DN의 일반 이름 (CN)이 호스트 이름과 일치해야합니다.