Problemas com vários SSL no mesmo IP, mas apenas em clientes selecionados

Question

Eu sei que há toneladas de posts sobre vários SSL no mesmo IP, mas eu prometo que não vou bater em um cavalo morto. Minha pergunta é muito clara. Primeiro, um pouco de fundo ...

Nossa organização tem vários sites de comércio eletrônico. Todos esses sites estão executando no mesmo IP, usando o SNI para hosts virtuais baseados em nome. Na maioria dos casos, isso está funcionando muito bem. No entanto, em alguns navegadores (ie7 / ie8, mas apenas em máquinas selecionadas por algum motivo), obtivemos relatórios informando que os usuários estavam tendo uma incompatibilidade de domínio com o certificado SSL. Descobrimos que eles estavam vendo o certificado SSL para o primeiro host SSL em ordem alfabética, já que o Apache resolve o endereço IP primeiro, ENTÃO pega o que acha ser o arquivo host virtual correto.

Eu fiz algumas experiências com o protocolo SSL e descobri que se eu configurá-lo assim (ssl.conf):

SSLProtocol TLSv1

Então eu simplesmente não encontrei nenhum dos domínios https no IE.

Se eu definir SSLStrictSNIVHostCheck em ports.conf

SSLStrictSNIVHostCheck em

Então, recebo uma permissão negada nos navegadores problemáticos.

O problema é, obviamente, que o IE não está suportando, ou não está usando, o protocolo TLSv1 ou o SNI, ambos necessários. Então minha pergunta é ...

Existe uma alteração de configuração que eu possa fazer para suportar o IE, talvez sob um protocolo diferente, ou é a minha única opção usando um IP separado para cada host virtual que requer SSL?

Obrigado antecipadamente =)

    

Answer 1

O apoio do SNI ainda é, infelizmente, bastante deficiente. Você não especifica, mas eu aposto que seus navegadores IE problemáticos estão em máquinas Windows XP, sim? Não há suporte a SNI em qualquer versão do IE no Windows XP (ou anterior); apenas o Vista e, posteriormente, suportá-lo, e apenas no IE 7 e posterior.

Veja aqui para uma lista de navegadores que suportam o SNI .

Meu conselho: Se você precisar dar suporte a clientes que não têm suporte a SNI (e com o número de sistemas XP ainda disponíveis, provavelmente precisará), então você terá que implementar soluções que não dependam de SNI .

    

Answer 2

Se você deseja alcançar um público amplo, não use o SNI. Não é suportado o suficiente e você deve evitá-lo por pelo menos um par de anos a partir de agora.

Você deve dar uma olhada nos certificados UCC / SAN. Geralmente é mais caro, mas é a coisa certa a fazer nesta situação. Ou você poderia ter alocado um endereço IP para cada site.

O

link fornece mais informações sobre esse tipo de certificado.

    

Answer 3

Hoje, cerca de 10% dos usuários da Internet não têm suporte para a indicação do nome do servidor. Na GlobalSign, criamos recentemente uma solução para oferecer suporte a usuários que não têm suporte para indicação de nome de servidor (SNI) usando dois certificados SSL (um é para o endereço IP e é gratuito). Você pode ler mais sobre o problema e a solução que criamos para hospedar com segurança vários Certificados SSL em um único endereço IP em um artigo de blog que publicamos hoje.

link