Chrome hiển thị ERR_CERT_COMMON_NAME_INVALID khi firefox hài lòng

Học cách làm việc với các chứng chỉ, có thể sẽ có máy chủ CA cục bộ. Tôi có máy chủ với BMC, vì vậy tôi đã sử dụng nó để thực hành. Đã tạo cặp CA, sau đó tạo cặp máy chủ và sau đó ký CSR máy chủ với cặp CA để nhận crt máy chủ. Tôi đã tải CA crt lên kho lưu trữ khóa đáng tin cậy của chrome và cặp máy chủ lên BMC. Bây giờ khi tôi vào máy chủ, tôi có thể thấy rằng BMC trả về đúng crt, nhưng chrome cho thấy kết nối không an toàn. Lý do là ERR_CERT_COMMON_NAME_INVALID. Tuy nhiên, khi tôi nhấp vào "Chứng chỉ không hợp lệ", tôi có thể thấy cả khóa và chứng chỉ đã ký được hiển thị là "Chứng chỉ này vẫn ổn". Tên DNS được sử dụng trong url = tên COMMON. Đồng thời, đối với Firefox thì không có vấn đề gì, với chứng chỉ của tôi thì tốt. Điều gì có thể sai?

Đã sử dụng trình tự này: #CA TƯ

openssl genrsa -out CAKEY.pem 2048

CHỨNG NHẬN #CA (được sử dụng trong trình duyệt). Tên thường gọi: ca.mydomain.com

openssl req -x509 -sha256 -new -nodes -key CAKEY.pem -days 3650 -out CACERT.pem -addext "subjectAltName = DNS:ca.mydomain.com"

#HOST KEY (up lên BMC), mình cần tắt mật khẩu bảo vệ ở đây, BMC không thích mật khẩu

openssl genrsa -out HOSTKEY.pem 2048

#HOST CSR. Tên thường gọi: host1.mydomain.com

openssl req -new -key HOSTKEY.pem -out HOSTCSR.pem -addext "subjectAltName = DNS:host1.mydomain.com"

#SIGN (đã tải lên BMC)

openssl x509 -req -CA CACERT.pem -CAkey CAKEY.pem -in HOSTCSR.pem -out HOSTCRT.PEM -days 3650 -CAcreateserial

OpenSSL của x509 lệnh không sao chép phần mở rộng từ tệp CSR sang chứng chỉ đã ký trong phiên bản 1.1.1 trở về trước.

trên phiên bản mới nhất có -copy_extensions <arg> tùy chọn, trong đó ` có thể là không ai, sao chép hoặc sao chép tất cả.

Bạn đang nhận được thông báo trong Chrome vì chứng chỉ của bạn chưa được sao chép tiện ích mở rộng Tên thay thế chủ đề (SAN), vì vậy chứng chỉ sẽ phàn nàn. Tôi tin rằng Firefox vẫn duy trì việc sử dụng Tên chung của Chủ đề nếu không có phần mở rộng Tên thay thế Chủ đề nào tồn tại, đó là lý do tại sao nó không phàn nàn.

Bạn có thể giải quyết vấn đề này bằng cách trỏ x509 lệnh sang tệp cấu hình khác với -extfile <file> và -phần mở rộng <phần> tùy chọn. Tập tin <file> chỉ cần có một phần được đặt tên với các tiện ích mở rộng mà bạn muốn thêm vào chứng chỉ:

[ my_ext ]
chủ đềKeyIdentifier = hàm băm
authorityKeyIdentifier = keyid: luôn luôn
keyUsage = quan trọng, chữ ký số, keyEncipherment
ExtendedKeyUsage = serverAuth
chủ đềAltName = @alt_names
[alt_names]
DNS.1 = host1.mydomain.com