Ping uma porta específica

Question

codechurn

Asked: 2025-04-21 12:03:24 +0800 CST2025-04-21 12:03:24 +0800 CST 2025-04-21 12:03:24 +0800 CST

Gerar certificado curinga usando a CA do Windows

772

Estou tentando emitir um certificado de servidor Web *.internal usando minha CA do Windows que posso então importar para o PFSense e usar com o HAProxy.

Na CA, abri o Gerenciador de certificados no escopo Computador local.
Eu navego até Personal, Certificatesclico com o botão direito e entãoRequest New Certificate
Selecione e clique em Avançar Certificate Enrollment.Active Directory Enrollment Policy
Seleciono o Web ServerModelo de Certificado e defino os seguintes detalhes:
Guia Assunto
Common Name: *.internal
DNS Name: *.internal
Guia Chave Privada
Make Private Key Exportable
Em seguida, clico em "Inscrever-se". O certificado aparece no meu repositório pessoal. Exporto o certificado (com a chave privada) e depois o importo para o PFsense.
Configurei o HAProxy para fazer o offload de SSL usando o certificado. Ao navegar em um site, recebo o seguinte erro:

O que estou perdendo/fazendo errado com o certificado? Aqui está o certificado (como baixado do navegador) após visualizar o site:

1 respostas

Voted

Esa Jokinen · Answer 1 · 2025-04-21T13:37:35+08:00

Não há nada de errado com o certificado, mas o navegador não permite certificados curinga para domínios de nível superior nem para domínios controlados pelo registro público/ICANN.

Para o Chromium, a abordagem atual foi adicionada em d5dd7dd7 em 17 de maio de 2013:

// Do not allow wildcards for public/ICANN registry controlled domains -
// that is, prevent *.com or *.co.uk as valid presented names, but do not
// prevent *.appspot.com (a private registry controlled domain).
// In addition, unknown top-level domains (such as 'intranet' domains or
// new TLDs/gTLDs not yet added to the registry controlled domain dataset)
// are also implicitly prevented.

Mesmo antes disso, certificados curinga muito amplos foram bloqueados exigindo pelo menos dois pontos no FQDN, mas isso não funcionou bem para, por exemplo, *.co.uk.

// We required at least 3 components (i.e. 2 dots) as a basic protection
// against too-broad wild-carding.
// Also we don't attempt wildcard matching on a purely numerical hostname.
allow_wildcards = reference_domain.rfind('.') != 0 &&

Gerar certificado curinga usando a CA do Windows

Você pode passar usuário/passar para autenticação básica HTTP em parâmetros de URL?