AWS Route 53中自定义域名CNAME指向的SSL证书匹配问题排查

这个SSL验证错误的核心原因是你的SSL证书没有覆盖用户的自有域名（比如a1.abc.com）。

错误原因解析 #

当用户访问a1.abc.com时，浏览器会向你的服务器请求SSL证书，但你的服务器返回的证书仅针对xyz.com（或仅*.xyz.com的通配符证书）。浏览器检测到证书的通用名称（CN）或主题备用名称（SAN）里没有包含a1.abc.com，就会触发证书不匹配的验证错误。

具体修复步骤 #

• 先确认当前证书的覆盖范围：检查你的SSL证书的SAN字段，它大概率只包含xyz.com和*.xyz.com，这类证书只能覆盖你自己域名的子域名，无法适配用户的第三方域名。
• 确保你的负载均衡/WEB服务器支持SNI（Server Name Indication）：SNI允许服务器根据请求的域名返回对应的证书，这是支持多域名证书的基础。
• 为用户的自有域名配置对应证书：
  • 方案一：让用户上传自己的SSL证书，你将该证书与用户的专属子域名（a1.xyz.com）绑定，当请求a1.abc.com时，服务器返回用户提供的匹配证书。
  • 方案二：自动为用户的自有域名申请免费SSL证书（比如Let's Encrypt），需要实现域名验证逻辑——比如引导用户在其域名解析中添加指定TXT记录，或者通过HTTP验证（在用户域名下放置指定验证文件），证书申请成功后自动绑定到服务。
• 若使用云服务商负载均衡（比如AWS ELB）：需要在负载均衡上配置证书列表，将用户的自有域名证书加入，并确保路由规则能正确匹配域名返回对应证书。

内容的提问来源于stack exchange，提问作者Pratiksha Parghi