SSL sertifikası yalnızca alan adı için değil, doğrudan genel (public) bir IP adresi için de düzenlenebilir. Bu, alan adı bulunmayan cihaz arayüzleri, bazı API uç noktaları veya IP üzerinden erişilen servisler için kullanılır. Her CA ve ürün bunu desteklemez.
Koşullar
- IP adresi genel ve internetten erişilebilir olmalıdır; 10.x.x.x, 172.16.x.x, 192.168.x.x gibi özel adresler ve ayrılmış aralıklar için herkese açık CA sertifika vermez.
- IP adresinin kontrolü sizde olmalıdır; adres bloğu sağlayıcıya (ISP/hosting) aitse kullanım hakkını kanıtlamak gerekebilir.
- Sertifika IP adresini
iPAddresstipinde SAN olarak içerir. - Kurum doğrulaması yapılan (OV) türler yaygındır; ürün ve CA'ya göre seçenek değişir, sipariş öncesinde IP desteğini teyit edin.
CSR oluşturma
IP adresi IP: önekiyle SAN alanına yazılır (örnek adres, dokümantasyon aralığındandır):
openssl req -new -newkey rsa:2048 -nodes -keyout ip.key -out ip.csr -subj "/C=TR/O=Ornek Ltd/CN=203.0.113.10" -addext "subjectAltName=IP:203.0.113.10"Doğrulama
- E-posta yöntemi IP adresi için genellikle kullanılamaz, çünkü IP'nin bir admin@ adresi yoktur.
- CA, IP adresi üzerinde kontrol kanıtı olarak doğrulama dosyasını HTTP üzerinden IP adresinden yayımlamanızı veya IP kaydı sahibiyle iletişimi isteyebilir; uygulanan yöntem CA'ya göre değişir.
- OV sertifikada kuruluşun doğrulanması da gerekir.
Sık hatalar
- Dinamik IP kullanmak: adres değişince sertifika geçersiz kalır; sabit IP gerekir.
- Özel ağ için genel CA sertifikası istemek: Bu durumda iç CA kullanmak doğru çözümdür.
- Tarayıcıya IP yerine alan adıyla bağlanmak: sertifika IP içindir; alan adıyla girilirse uyarı çıkar.
Alternatifler
IP sertifikası yerine çoğu durumda alan adı almak daha esnektir. İç ağ cihazları için kendi iç CA'nızı kurmak ve istemcilere güvenilir kök olarak dağıtmak, genel CA'nın vermediği özel adreslerde gerçekçi yoldur. Karar verirken cihazın dışarıdan erişilip erişilmediğini ve IP'nin sabit olup olmadığını değerlendirin.
IP sertifikası yerine mümkünse alan adı kullanmak daha esnektir, çünkü IP değişse de sertifika geçerli kalır. Ürün seçimi için SSL seçim, genel bakış için SSL sertifikaları sayfalarına, CSR için CSR oluşturucuya bakabilirsiniz.