Проблема с сертификатом SSL: запись CN не совпадает с именем хоста в URL-адресе

Question

Я пытаюсь установить связь клиента с сервером через SSL с помощью самоподписанных сертификатов. На стороне сервера я добавил CN = при создании сертификата. Мой клиент связывается с использованием libCurl с CURLOPT_SSL_VERIFYPEER, установленным в 1 и CURLOPT_SSL_VERIFYHOST, который установлен в 2.

Когда клиент пытается отправить запрос с использованием полного доменного имени сервера в URL-адресе, он отлично работает. но если клиент использует IP-адрес, я получаю сообщение об ошибке как «SSL: имя субъекта сертификата» не соответствует имени целевого хоста »« Я понял, что проблема: «Имя хоста, используемое в URL-адресе, должно совпадать с именем субъекта», приведенным в сертификат.

Но каково решение этой проблемы? Клиент должен иметь возможность подключения с использованием IP-адреса/короткого имени хоста/FQDN. Я попытался добавить несколько CN записей (для полного доменного имени и IP) в сертификат, но это не сработало.

Answer 1

Используйте настоящее имя хоста в URL-адресе libcurl, чтобы проверка имени хоста работала.

Если вы хотите указать другому хосту, чем обычно это разрешаете, используйте CURLOPT_RESOLVE, чтобы заставить libcurl использовать ваш локальный/временный IP.

См. Пример resolve.c о том, как это можно сделать.

Если вы хотите добавить несколько имен в сертификат, вы используете SubjectAltName вместо CN.