Les certificats SSL sont-ils liés à l'adresse IP du serveur?

Question

Nous avons deux fournisseurs LDAP différents dans deux différents bureaux physiques. Lorsque je connecte mon ordinateur portable à un emplacement et que je «récupère du port» (dans Websphere 6.1) pour importer le cert ssl du fournisseur ldap, je peux m'authentifier auprès du ldap correspondant sans problème. Si je prends mon ordinateur portable à l'autre bureau (qui utilise l'autre fournisseur ldap par défaut) et que je branche mon ordinateur portable, mon WAS sur mon ordinateur portable ne démarre pas car il indique «aucun certificat SSL fiable trouvé».

Si je récupère à nouveau le port et réimporte le certificat, cela fonctionne à nouveau.

Notez que mon WAS essayait toujours de se connecter à un ldap, il n'a tout simplement pas d'utilité pour l'autre.

Si je retourne à l'autre bureau, je reçois la même erreur jusqu'à ce que je réimporter de cet endroit. Le point de connexion ldap est ldap.something.com: 636 et est pingable dans les deux emplacements avec le même nom de domaine complet.

Mais quand cinglé il résout à une adresse IP différente dans chaque emplacement de bureau. Pourquoi est-ce que je vois ce comportement?

Les Cents SSL sont-ils liés à une adresse IP spécifique?

Si oui, alors je dois maintenir un ensemble différent de certificats pour chaque bureau, n'est-ce pas?

Notez qu'il n'y a aucun moyen d'ajuster les serveurs DNS pour résoudre le nom d'hôte à la même adresse IP, j'ai vérifié.

Quelqu'un peut-il donner un aperçu?

Answer 1

Les certificats SSL sont liés à un «nom commun», qui est généralement un nom de domaine complet, mais peut être un nom générique (par exemple .domaine.com) ou même une adresse IP, mais ce n'est généralement pas le cas. .

Dans votre cas, vous accédez à votre serveur LDAP par un nom d'hôte et il semble que vos deux serveurs LDAP aient des certificats SSL différents installés. Êtes-vous en mesure d'afficher (ou de télécharger et d'afficher) les détails du certificat SSL? Chaque certificat SSL aura un numéro de série unique et une empreinte digitale qui devra correspondre. Je suppose que le certificat est rejeté car ces informations ne correspondent pas à celles de votre magasin de certificats.

Votre solution consiste à s'assurer que les deux serveurs LDAP ont le même certificat SSL installé. BTW - vous pouvez normalement remplacer les entrées DNS sur votre poste de travail en éditant un fichier local 'hosts', mais je ne le recommanderais pas.

Answer 2

La plupart des certificats SSL sont liés au nom d'hôte de la machine et non à l'adresse IP.

Vous pourriez obtenir une meilleure réponse si vous posez cette question sur serverfault.com

Answer 3

Les certificats SSL vont être lié à nom d'hôte plutôt que IP si elles sont configurés de façon standard. D'où la raison pour laquelle cela fonctionne sur un site plutôt que sur l'autre.

Même si les serveurs partagent le même nom d'hôte, ils peuvent avoir deux certificats différents. .