Certificado WIldcard instalado no servidor que não hospeda www subdomínio

Question

Estou procurando esclarecimentos / orientações sobre o seguinte.

Eu tenho www.example.com instalado no CMS desenvolvido pela Cloudflare CDN.

Eu quero proteger subdomínios usados para outros aplicativos hospedados em servidores separados (não Cloudflare):

• app.example.com
• servide.example.com
• mail.example.com

O CMS desenvolvido pela Cloudflare tem um certificado SSL emitido por www.example.com e informa que os certificados existentes não podem ser redefinidos para o sistema e que o certificado não pode abranger o conteúdo não hospedado por eles.

Meu entendimento é que, a menos que este certificado não esteja instalado no domínio principal ( www.example.com ), não podemos aplicar em outros subdomínios. Isso está correto?

Em outras palavras, é possível ter o certificado fornecido pelo CMS em www.example.com em seu servidor e usar um certificado curinga para proteger todos os outros subdomínios em servidores separados ao mesmo tempo?

    

Answer 1

No que diz respeito à verificação de nomes, um cliente simplesmente verifica se o nome endereçado ao servidor corresponde à lista de nomes incorporados no certificado que o servidor apresenta.

O cliente não tem como saber se outro servidor, algum lugar na Internet, tem o mesmo nome na SAN.

Observe que é improvável que haja qualquer confusão causada por isso, pois o DNS garante que apenas um dos servidores esteja acessível.

Ou seja, se www.example.com no DNS apontar para seu serviço não fornecido pelo Cloudflare, o cliente se conectará a esse serviço e receberá o certificado *.example.com . Isso passará no teste de correspondência de nomes e, portanto, deve ser bem-sucedido.

Se você alterar suas configurações de DNS para apontar www.example.com para o servidor Cloudflare, o cliente receberá o certificado fornecido pela Cloudflare (com www.example.com somente) e, como os nomes correspondem, ainda assim será feliz.

Enquanto isso, os nomes que não forem www.example.com ( app , servide , mail etc.) apontarão para o servidor não-Cloudflare no DNS e usarão com alegria o certificado *.example.com .

    

Answer 2

Você usa certificados Cloudflare para serviços do Cloudflare. Apenas esqueça e deixe "simplesmente funcionar".

Você compra e usa um certificado externo para serviços externos, conforme necessário, como faria com qualquer outro servidor DNS. Com as exceções dos registros A e CAA hospedados no Cloudflare, eles não tocam em nada.