Redirecionar o tráfego SSL do Apache para subdomínio com um certificado apropriado

Question

Eu atualmente tenho um servidor que tem um subdomínio DynDNS (vamos chamá-lo foo.dyn.com). Eu também tenho um domínio adequado com um CNAME apontando para esse subdomínio (vamos chamá-lo bar.baz.com). O foo.dyn.com tem um certificado SSL auto-assinado, enquanto o bar.baz.com tem um certificado SSL próprio assinado pela CA.

Eu configurei o Apache para redirecionar solicitações não ssl para qualquer domínio para https://bar.baz.com , o que funciona bem. Meu problema é o seguinte: quero que qualquer pessoa que tente acessar https://foo.dyn.com seja redirecionada para https://bar.baz.com . Eu tentei duas soluções e não entendi direito:

1. Tenha 1 VirtualHost usando o certificado da CA. Esse óbvio fornece um aviso horrível sobre o domínio usando o certificado errado quando alguém tenta acessar https://foo.dyn.com .
2. Ter 2 VirtualHosts, um para foo.dyn.com com o certificado auto-assinado e outro para bar.baz.com usando o certificado apropriado. O foo.dyn.com tem uma cláusula de redirecionamento que redireciona todo o tráfego para https://bar.baz.com , o que funciona, exceto que você ainda é o aviso de certificado autoassinado. Além disso, alguns clientes HTTP que não são navegadores da Web (como wget) obtêm o certificado foo.dyn.com quando apontados para bar.baz.com

Existe alguma maneira de contornar este problema?

    

Answer 1

Este é um problema na pilha de protocolos. Você só pode ter um certificado SSL por IP por porta.

O motivo é o seguinte: O sistema de Apache e afins do VirtualHost é baseado no cabeçalho do host HTTP . No entanto, este cabeçalho é enviado depois que a conexão SSL é estabelecida (como todos os cabeçalhos são enviados depois de estabelecer a conexão SSL, caso contrário, seria um pouco inútil).

Assim, o único meio que o servidor tem para escolher um certificado é baseado na interface ou no IP em que a conexão é recebida e na porta.

Uma solução para o aviso seria adicionar seu segundo domínio como SubjectAltName ao certificado.

    

Answer 2

Você pode usar a Indicação do nome do servidor, se seus clientes o suportarem. (Veja esta resposta em SO para links.)