Estoy creando un servidor websocket que vivirá ws.mysite.example. Quiero que el servidor de socket web esté encriptado con SSL, así como domain.examplecon encriptación SSL. ¿Necesito comprar un nuevo certificado para cada subdominio que creo? ¿Necesito una dirección IP dedicada para cada subdominio que creo? Probablemente tendré más de un subdominio.
Estoy usando NGINX y Gunicorn corriendo en Ubuntu.
Respuestas:
Contestaré esto en dos pasos ...
¿Necesita un certificado SSL para cada subdominio?
Sí y no, depende. Su certificado SSL estándar será para un solo dominio, por ejemplo www.domain.example. Hay diferentes tipos de certs que puede hacer aparte del certificado de dominio único estándar: comodines y certificados de dominio múltiple.
Se emitirá un certificado de comodín para algo así *.domain.exampley los clientes tratarán esto como válido para cualquier dominio que termine con domain.example, como www.domain.exampleo ws.domain.example.
Un certificado de dominio múltiple es válido para una lista predefinida de nombres de dominio. Para ello, utiliza el campo Nombre alternativo del sujeto del certificado. Por ejemplo, podría decirle a una CA que desea un certificado de dominio múltiple para domain.exampley ws.mysite.example. Esto permitiría ser utilizado para ambos nombres de dominio.
Si ninguna de estas opciones funciona para usted, entonces necesitaría tener dos certificados SSL diferentes.
¿Necesito una IP dedicada para cada subdominio?
Nuevamente, este es un sí y un no ... todo depende de su servidor web / de aplicaciones. Soy un chico de Windows, por lo que responderé con ejemplos de IIS.
Si está ejecutando IIS7 o una versión anterior, se ve obligado a vincular certificados SSL a una IP y no puede tener múltiples certificados asignados a una sola IP. Esto hace que necesite tener una IP diferente para cada subdominio si está utilizando un certificado SSL dedicado para cada subdominio. Si está utilizando un certificado de dominio múltiple o un certificado comodín, entonces puede salirse con la IP única, ya que solo tiene un certificado SSL para empezar.
Si está ejecutando IIS8 o posterior, se aplica lo mismo. Sin embargo, IIS8 + incluye soporte para algo llamado Indicación de nombre de servidor (SNI). SNI le permite vincular un certificado SSL a un nombre de host, no a una IP. Por lo tanto, el nombre de host (nombre del servidor) que se usa para hacer la solicitud se usa para indicar qué certificado SSL debe usar IIS para la solicitud.
Si usa una sola IP, puede configurar sitios web para responder a solicitudes de nombres de host específicos.
Sé que Apache y Tomcat también tienen soporte para SNI, pero no los conozco lo suficiente como para saber qué versiones lo admiten.
Línea de fondo
Dependiendo de su aplicación / servidor web y qué tipo de certificados SSL que pueda obtener determinarán sus opciones.
abc.def.domain.com, ¿ese es también el caso?
Puede obtener un certificado para cada subdominio, un certificado de subdominio múltiple o un certificado comodín (para *.yoursite.example).
Sin embargo, generalmente cuestan un poco más que los certificados regulares, y debido a que comparte un solo certificado, generalmente no son la mejor opción desde el punto de vista de la seguridad, a menos que aloje un anything.mydomain.exampletipo de aplicación donde sean la única opción viable.
Tampoco necesita múltiples direcciones IP si tiene un servidor web compatible con SNI . Dicho esto, SNI solo es compatible con los navegadores modernos (IE6 y versiones posteriores no funcionarán con él). Las versiones recientes de Nginx y Apache admiten SNI de forma transparente (solo agregue hosts virtuales habilitados para SSL).
Necesitará un certificado por separado para cada subdominio, o puede comprar un comodín cert ( *.domain.example), más costoso, pero tiene sentido si aloja muchos subdominios.
En cuanto a las IP, depende de cómo configure su servidor. Puede usar reglas de nombre de host para servir múltiples sitios desde la misma IP, o usar IP únicas para cada uno. Hay ventajas y desventajas de ambos métodos.