二级子域名与通配符子域名SSL证书配置正确性咨询

二级子域名与通配符子域名SSL证书配置正确性咨询 #

嘿，我来帮你理清楚这个问题哈～

首先，Certbot提示a.foo.com冗余是完全合理的，因为*.foo.com这个通配符已经覆盖了所有二级子域名，包括你列出的a.foo.com、b.foo.com这些。所以单独添加a.foo.com确实没必要，属于重复范围，Certbot才会报错。

你现在想到的配置——同时包含*.foo.com和*.a.foo.com——是完全正确的，刚好能满足你的需求：

• *.foo.com会覆盖所有二级子域名（比如a.foo.com、b.foo.com、任意其他二级子域名）；
• *.a.foo.com则专门覆盖a.foo.com下的所有三级子域名（比如x.a.foo.com、y.a.foo.com这类），这部分是*.foo.com覆盖不到的，因为通配符只会匹配下一级域名，不会递归匹配更深的层级。

举个例子，如果你有x.a.foo.com这个域名，只靠*.foo.com是无法匹配的，必须加上*.a.foo.com才能让这个三级子域名也能使用SSL证书。

所以你的这个配置方案是没问题的，完全符合证书通配符的规则，放心用就好～

备注：内容来源于stack exchange，提问作者zallaevan