SSL 证书如何处理通配符证书不支持 IP 地址的限制

通配符证书不支持IP地址，必须使用SAN证书并显式列出IP条目（如IP:192.168.1.100）作为Subject Alternative Name，CN字段无效；公网IP可由主流CA签发，内网IP需特定CA及OV以上验证；部署时server_name须匹配具体IP，浏览器访问也必须精确对应。

通配符证书（如 *.example.com）天生不支持 IP 地址，这是由 TLS 协议标准和 CA/B 论坛基线要求决定的——通配符只能匹配域名层级结构，不能用于 IP 地址。想用 HTTPS 保护 IP，必须绕过通配符这条路，改用明确声明 IP 的方式。

用 SAN 证书替代通配符，显式列出 IP

IP 地址必须作为 Subject Alternative Name（SAN）字段中的 IP 类型条目 写入证书，而不是放在 CN 或用通配符表示。生成 CSR 时需强制指定：

1. 使用 OpenSSL 命令添加 subjectAltName=IP:192.168.1.100（IPv4）或 IP:2001:db8::1（IPv6）
2. CN 字段可填该 IP，但不起验证作用；真正起效的是 SAN 中的 IP 条目
3. 一张证书最多可包含多个 IP（如 192.168.1.100、192.168.1.101），但每个都得单独列出，不能写成 192.168.1.*

区分公网 IP 和内网 IP 的签发可行性

不是所有 IP 都能申请成功，关键看地址类型和 CA 政策：

1. 公网 IP：多数主流 CA（如 Sectigo、JoySSL、DigiCert）支持，需提供 WHOIS 或 ISP 出具的归属证明
2. 内网 IP（如 10.x.x.x、172.16–31.x.x、192.168.x.x）：仅部分专业 CA 支持（如 JoySSL、DigiCert 的企业版），且必须走 OV 或更高验证等级，还要配合内部 DNS/TXT 验证或文件验证
3. 纯私有 IP 若无法验证所有权，会被直接拒签

部署时注意服务端配置匹配

Nginx/Apache 等服务器不会自动识别证书里的 IP SAN，需手动对齐：

1. server_name 指令必须写成具体 IP（如 server_name 192.168.1.100;），不能留空或写域名
2. 浏览器访问时必须用 https://192.168.1.100，若输错一位数字或混用 HTTP，会触发证书不匹配警告
3. 多 IP 场景建议一张证书含全部需保护的 IP，避免频繁切换证书文件

替代方案：私有 CA + 本地信任根（适合封闭内网）

当公有 CA 不支持某类 IP，或审批周期太长时，可自建 PKI：

1. 用 OpenSSL 或 Microsoft AD CS 创建私有根证书
2. 签发带 IP SAN 的服务器证书（格式同公有流程）
3. 将私有根证书批量导入所有终端“受信任的根证书颁发机构”存储区
4. 优势是完全自主控制，支持任意 IP；缺点是需维护信任链分发与更新