如何从HTTPS Web服务器访问内部服务器？架构与证书问题咨询

咱先把问题根源理清楚：你的SSL证书是绑定在domain.com域名上的，当你用外部IP访问时，请求的主机头是IP地址，和证书里的域名domain.com不匹配，自然就触发了证书验证失败。既然不能走外部IP，那咱就从内部网络访问的角度来解决，给你几个实用的方案：

方案1：修改本地hosts文件（最简单快捷） #

这个方法能让web-server2访问domain.com时直接解析到web-server1的内部地址，既满足证书域名匹配，又不走外部网络。

• 操作步骤：

  • 对于Linux/macOS服务器：
    1. 打开终端，执行命令编辑hosts文件：sudo nano /etc/hosts
    2. 在文件末尾添加一行：internal.add1 domain.com
    3. 按Ctrl+O保存，Ctrl+X退出编辑器
  • 对于Windows服务器：
    1. 右键点击记事本，选择「以管理员身份运行」
    2. 打开文件：C:\Windows\System32\drivers\etc\hosts
    3. 在文件末尾添加一行：internal.add1 domain.com
    4. 保存文件

• 效果：web-server2访问https://domain.com:3000时，会直接解析到web-server1的内部地址internal.add1，请求的主机头是domain.com，和你的SSL证书完全匹配，不会再报无效证书。

方案2：配置内部CA签发的SSL证书（适合长期内部环境） #

如果你的内部网络有多台机器需要互相访问，或者不想依赖hosts文件，那可以搭建一个内部CA，给两台服务器的内部地址签发证书。

• 核心思路：

  1. 用OpenSSL等工具搭建内部根CA
  2. 给internal.add1和internal.add2分别签发SSL证书（注意要在证书的Subject Alternative Name里包含对应的内部地址）
  3. 在两台服务器以及所有需要内部访问的机器上安装内部CA的根证书，让系统信任这个CA

• 效果：web-server2访问https://internal.add1:3000时，会信任内部CA签发的证书，验证顺利通过，而且整个访问流程完全在内部网络完成。

方案3：临时改用HTTP访问（不推荐，仅应急） #

如果你的内部通信安全性要求不高，且只是临时需要访问，可以直接用HTTP访问web-server1的内部地址http://internal.add1:3000。但这个方案跳过了HTTPS加密，存在数据泄露风险，不建议长期使用。

内容的提问来源于stack exchange，提问作者makar