内网VPN访问的Web服务器部署受信任SSL证书的方案咨询及疑问

嗨，针对你在大公司内网搭建VPN专属Web服务遇到的SSL证书问题，我来给你梳理下可行方案和你的疑问解答：

关于Let's Encrypt和其他公开可信CA的疑问 #

你完全说对了——Let's Encrypt确实没法直接用在你的场景里，其他公开信任的CA（比如DigiCert、GlobalSign这类）也都是一样的逻辑。

• Let's Encrypt的两种验证方式都走不通：HTTP-01挑战需要公网能访问你服务器上的特定路径，你的机器只在VPN内，公网碰不到；DNS-01挑战虽然不用访问服务器，但需要修改公网DNS里对应域名的TXT记录，而你的foo.mycompany.com只有内部DNS能解析，公网DNS根本没这条记录，自然没法完成验证。
• 所有公开可信CA的核心要求是验证你对域名的合法控制权，而你的域名在公网环境里完全“不存在”，这些CA既找不到你的域名，也没法确认你是它的拥有者，所以根本不可能给你颁发公网信任的证书，浏览器也自然不会默认信任这类CA发的、针对“未知域名”的证书。

适合你场景的替代方案 #

结合你公司的现有条件，有几个现实的方向可以尝试：

• 求助IT团队实现根证书自动推送：这其实是最优解。很多公司的VPN客户端、MDM设备或者组策略工具，都支持在用户连接VPN时，自动把内部根证书部署到非管理设备上——比如Windows用组策略、Mac/iOS用配置描述文件，甚至VPN客户端可以带个自动执行的脚本。你可以跟IT部门咨询下有没有这个能力，这样用户完全不用手动操作，连感知都不会有。
• 尝试公网DNS辅助验证（需IT配合）：如果你们公司的公网域名mycompany.com是由内部管理的，能不能让IT在公网DNS里给foo.mycompany.com加一条空的或者验证用的TXT记录？不需要指向任何公网IP，只是用来满足CA的域名控制权验证。这样你就能用Let's Encrypt的DNS-01挑战，在内部服务器上运行acme客户端（比如certbot），通过API或者手动更新公网DNS的TXT记录完成验证，拿到公开信任的证书。而且内部DNS还是继续解析到内网IP，完全不影响正常访问。
• 优化内部证书的安装体验：如果上面的路都走不通，那只能把内部证书的安装流程简化到极致。比如你可以做一个简单的引导页，用户第一次访问你的服务时，自动检测设备是否安装了内部根证书，没装的话直接提供一键安装脚本：
  • Windows用户可以用certutil -addstore -f "Root" root.cer命令打包成bat文件
  • Mac用户可以用security add-trusted-cert -d -r trustRoot -k /Library/Keychains/System.keychain root.cer做成一键执行的脚本
    这样用户点一下就能完成安装，比手动找证书、一步步导入要方便太多。

备注：内容来源于stack exchange，提问作者Phrogz