Un navigateur a-t-il besoin d'accéder à Internet pour naviguer sur un site sécurisé interne avec SSL?

Question

J'ai un site Web sécurisé utilisant un certificat SSL de Network Solutions. Le site Web peut être consulté à partir d'ordinateurs dans les environnements de mon entreprise qui ont accès à Internet. (IIS redirige les appels http vers https). J'ai un navigateur dans un environnement verrouillé essayant d'accéder au même site Web en utilisant https. L'environnement verrouillé n'a pas accès à Internet mais les ports 80 et 443 sont ouverts au serveur du site Web et j'ai vérifié les réponses de telneting aux ports 80 & 443. (non lié à l'erreur de toute façon). Le serveur IIS a accès à Internet.

La réponse dans IE est présentée ci-dessous. Est-ce que le problème d'IE est qu'il n'a pas accès à Internet et ne peut donc pas se connecter à Network Solutions (NS) pour vérification ou est-ce à cause d'un CERT root manquant pour NS? NS est une autorité connue donc c'est peu probable.
(je dépannage WebAPI appels à l'aide https au cas où quelqu'un décide, ce n'est pas une question de programmation. Je dois faire IE fonctionne correctement sur la même machine avant que je regarde les choses de WebAPI)

Answer 1

TL TR: habituellement, aucun accès internet n'est nécessaire pour vérifier le certificat sur les sites internes, mais il y a des cas limites.

Il n'y a pas d'Internet nécessaire pour accéder à un site interne qui a un certificat signé par une autorité de certification interne. Il n'y a pas non plus d'accès à Internet nécessaire dans la plupart des cas si le site interne a un certificat signé par un public commun (c'est-à-dire une autorité de certification externe). Il pourrait y avoir un ralentissement dans ce cas, car il pourrait essayer de vérifier en ligne les informations de révocation, mais dans la plupart des cas, il continuera juste s'il ne peut pas atteindre le serveur pour des vérifications de révocation. Il peut échouer si le certificat est un certificat EV ou si le navigateur est configuré pour effectuer des vérifications de révocation plus strictes que d'habitude.

Mais dans votre cas, cela indique que le certificat a été émis par une autorité de certification inconnue. Cela signifie que l'autorité de certification racine de ce certificat n'est pas du tout connue sur votre système ou que le serveur n'a pas réussi à envoyer les certificats intermédiaires requis pour créer le chemin d'accès de confiance à l'autorité de certification racine. Dans ce dernier cas, certains navigateurs sont capables de contourner cette configuration défectueuse en téléchargeant les certificats intermédiaires manquants sur Internet - ce qui nécessite bien entendu un accès à Internet. Dans le premier cas (CA racine manquante), une mise à jour du magasin de CA racine pourrait aider les navigateurs Microsoft à faire de l'arrière-plan s'ils ont accès à Internet.