SSL通配符证书

Question

我正在寻找公司* .domain.com的通配符证书。 我不需要扩展验证。 入门级的问题：

• 我应该买2级或3级证书？主要区别是什么？

• 我可以在不同的机器（不同的IP）中安装（使用）相同的证书/密钥对吗？有些CA要求提供专用IP，但我想将SNI用于多个虚拟主机。

• 一般来说，依靠SNI支持是一个好主意吗？

Answer 1

我应该购买2级还是3级证书？主要区别是什么？

不同之处在于中间CA的数量，这应该不重要。不同的CA可能在证书之间存在其他差异，例如生命期等，但这取决于CA.

我可以在不同的机器（不同的IP）上安装（使用）相同的证书/密钥对吗？有些CA要求专用IP，但我想使用SNI作为多个虚拟主机。

只要在不同的IP，不同的端口，多台机器上使用相同的证书，没有限制。所有情况下的主机名都与证书相匹配。当然，每台机器都需要访问私钥，因此可以使用更多的机器来增加攻击面。

一般来说，依靠SNI支持是一个好主意吗？

这取决于您需要支持哪种系统。如果你期望只有更新的浏览器作为客户SNI是好的。但是，IE8（Windows XP），一些Android应用程序（由于旧版本的Apache HTTP库），旧版本的Java和较旧版本的脚本语言（如Python，Perl等）不支持SNI，它们经常用于自动化任务。

如果您不仅希望将证书用于Web而且还用于邮件，情况可能会更糟。