X509 主题备用名称 (subjectAltName) IP 地址字段

Question

X509v3 可以在 subject Alternative Name 扩展中包含 IP 地址字段。

1. 作为验证服务器身份的应用程序，IP地址字段应该如何验证？
2. DNS 名称和 IP 地址是否都存在？是否存在对其中一种的偏好？
3. dirName 字段有什么用？

Answer 1

我之前读过 RFC 2818，但一定错过了这一部分。

In some cases, the URI is specified as an IP address rather than a
hostname. In this case, the iPAddress subjectAltName must be present
in the certificate and must exactly match the IP in the URI.

Answer 2

我的回答基于我使用 TLS/SSL 的经验。

1. 它基于证书验证的实施。要强制 IP 地址匹配，您必须实现它。
2. 无论你想要什么方式。您也可以检查两者。
3. 抱歉，不知道这个字段是做什么的。

您是否检查过 OpenSSL 文档？