SAN (Subject Alternative Name) SSL ervaringen?

[Netbulae]

Gezien het aantal beschikbare ip4 adressen steeds kleiner wordt en wij binnenkort onze hosting producten gaan lanceren zijn wij op zoek naar een manier op zo min mogelijk ip-adressen te gebruiken en toch al onze klanten SSL kunnen aanbieden.

Nu hebben we een SAN certificaat op het oog waarbij we meerdere domeinnamen op hetzelfde certificaat kunnen aanvragen.

Is zo'n certificaat ook voor webhosting en Directadmin te gebruiken?

Zijn er nog beperkingen waar we rekening mee moeten houden?

[T. Verhaeg]

Zeker, Windows XP en IE (standaardcombinatie) support het in zijn geheel niet.

[Netbulae]

Zeker, Windows XP en IE (standaardcombinatie) support het in zijn geheel niet.

Daar was ik al bang voor, ik hoopte dat dit een workaround was aangezien Microsoft bij dit type certificaat betrokken was. Blijkbaar alleen voor Exchange dus :-(

[bibawa]

Maar wat heeft dat met IPv4 adressen te maken ? Een certificaat is gebonden aan een DNS naam wat vervolgens weer gekoppeld is aan een ip adres. Of dat nu ipv4 of ipv6 is dat maakt niets uit..

[The-BosS]

Maar wat heeft dat met IPv4 adressen te maken ? Een certificaat is gebonden aan een DNS naam wat vervolgens weer gekoppeld is aan een ip adres. Of dat nu ipv4 of ipv6 is dat maakt niets uit..

Zolang je geen SNI runt is het wel degelijk van belang aangezien de header het ip adres eerst zend in plaats van de fqdn, in het geval meerdere ssl certs op 1 ip staan zonder SNI zal het eerste ssl cert dat de webserver neemt het enige zijn dat als vertrouwelijk aanzien zal worden door een browser.

@Netblue: Moest ik van jou zijn dan zou ik je webservers met SNI optie compilen, hierdoor kun je normale ssl certificaten blijven gebruiken en net zoals SAN ssl certs is er geen support op XP+IE. Maar als je daar rekening mee moet houden kun je net zo goed geen html5 en andere dingen in je website verwerken.

[visser]

Maar wat heeft dat met IPv4 adressen te maken ? Een certificaat is gebonden aan een DNS naam wat vervolgens weer gekoppeld is aan een ip adres. Of dat nu ipv4 of ipv6 is dat maakt niets uit..

Geen ervaring met webhosting ?
Bij 'plain' HTTP kun je vele verschillende domeinnamen op hetzelfde IP adres hosten, omdat de Host header met daarin de naam die de browser gevraagd heeft wordt meegegeven. De webserver presenteert dan de inhoud van de juiste virtuele webserver.

Bij HTTP over SSL is de hele sessie gecrypt, en is de gevraagde website hostnaam pas duidelijk nadat de sessie is opgezet, maar dat gebeurt alleen als de server het juiste certificaat (horende bij de gevraagde naam) gepresenteerd heeft.
Kip en ei probleem.

Per saldo komt dat erop neer dat je elke website die met SSL moet werken een eigen IP adres moet geven.

De 'bezig om gebruikt te worden' oplossing voor dit probleem heet SNI
http://en.wikipedia.org/wiki/Server_Name_Indication

En een alternatief is SAN (Subject Alternative Name). Dat wordt hier genoemd.
Beide opties hebben de beperking dat een deel van de nog populaire clients er geen support voor heeft.

[Mark17]

Zolang je geen SNI runt is het wel degelijk van belang aangezien de header het ip adres eerst zend in plaats van de fqdn, in het geval meerdere ssl certs op 1 ip staan zonder SNI zal het eerste ssl cert dat de webserver neemt het enige zijn dat als vertrouwelijk aanzien zal worden door een browser.

@Netblue: Moest ik van jou zijn dan zou ik je webservers met SNI optie compilen, hierdoor kun je normale ssl certificaten blijven gebruiken en net zoals SAN ssl certs is er geen support op XP+IE. Maar als je daar rekening mee moet houden kun je net zo goed geen html5 en andere dingen in je website verwerken.

Voor XP+IE kun je natuurlijk ook gebruik maken van een andere optie voor de normale site dan geen html5 gebruiken. Een beetje systeem kan daar omheen werken lijkt mij door een andere pagina te geven indien vereist.

[The-BosS]

Voor XP+IE kun je natuurlijk ook gebruik maken van een andere optie voor de normale site dan geen html5 gebruiken. Een beetje systeem kan daar omheen werken lijkt mij door een andere pagina te geven indien vereist.

Ik wil maar zeggen hoe lang ga je een OS van het jaar 2000 blijven supporten, vooral nu omdat er andere mogelijkheden zijn om het ip probleem op te lossen met ssl certificaten zoals SNI en SAN certs. Toen Windows XP uitkwam was er toch ook geen support meer voor DOS 6.22 en windows 3.0 browsers (en websites). Nee toen was het direct deftige html en flash, geen mens die toen stil stond bij oh zou het nog gesupport zijn op windows 3.0 of DOS 6.22. Waarom zou dat nu plots anders moeten zijn met een OS dat al 10 jaar oud is.

[bibawa]

Inderdaad per ssl-certificaat een dedicated ip adres, maar heb het verkeerd uitgedrukt misschien. Maar of dat achterliggend ip adres ipv4 of ipv6 is maakt niet uit het moet gewoon dedicated zijn.

Ik begreep dus niet goed wat de TS bedoelde met het 'opraken' van de ipv4s, het principe van SSL-certificaten blijft ook met IPV6 hetzelfde als met versie 4..

[The-BosS]

Ik begreep dus niet goed wat de TS bedoelde met het 'opraken' van de ipv4s, het principe van SSL-certificaten blijft ook met IPV6 hetzelfde als met versie 4..

De TS bedoel wat er staat, dat IPv4 op is, hoe denk je een ssl certificaat te gebruiken als je geen ipv4 adressen meer hebt (dat is zijn vraag). De oude truckjes zoals vroeger lukken niet meer bij ripe, ik zie je al komen bij ripe met een vraag als: "ik host 1000 website met ssl, kan ik even een /22 extra krijgen hiervoor". En een ssl certificaat op een IPv6 adres werkt inderdaad ook, maar daar ben je niet veel mee als 99% van de ISP's nog geen IPv6 supporten. Want hoe wil je dan dat een klant van bvb een webshop naar een IPv6 only webshop gaat als zijn provider nog nooit van IPv6 gehoord heeft.

[bibawa]

Dan denk ik dat je een andere hoster moet gaan zoeken als ze er nog nooit van gehoord hebben :-)

[The-BosS]

Dan denk ik dat je een andere hoster moet gaan zoeken als ze er nog nooit van gehoord hebben :-)

Ik heb het niet over HOSTERS maar ISP's als in telenet, belgacom, kpn, ziggo, ...