如何申请内网ip证书

申请内网IP证书可通过以下三种主流方式实现，具体流程及适用场景如下：

一、第三方CA机构签发内网专用证书（推荐高安全性场景）

适用对象：对安全性要求极高、预算充足的企业（如金融机构、大型企业内网系统）
申请流程：

1. 选择CA机构：如JoySSL、GlobalSign等支持内网IP证书的机构，对比价格、技术支持、证书兼容性。
2. 注册账号：访问官网完成注册，填写注册码（如230926）可享优惠。
3. 选择证书类型：
   • DV型IP证书：仅验证IP所有权，签发快（10分钟内），适合测试环境。
   • OV型IP证书：需验证IP所有权及企业信息，签发时间1-3个工作日，满足等保/密评要求。
4. 提交申请资料：
   • 填写IP地址、企业信息、联系人方式。
   • 上传CSR文件（通过OpenSSL生成，示例命令：openssl req -new -key private.key -out server.csr -subj "/C=CN/ST=省份/L=城市/O=组织名称/CN=192.168.1.100"）。
5. 验证所有权：
   • 在指定IP的服务器上放置验证文件，或开放80/443端口供CA访问。
6. 签发与部署：
   • 审核通过后下载证书包，按指南部署到Nginx/Apache等服务器（如Nginx配置示例：ssl_certificate /path/to/server.crt; ssl_certificate_key /path/to/private.key;）。

二、企业自建内网CA签发证书（推荐中大型企业）

适用对象：有一定技术能力、需管理多台内网设备的企业
实现步骤：

1. 搭建CA基础设施：
   • 使用OpenSSL创建CA目录结构（如/etc/pki/CA/），生成CA私钥（4096位）和自签名证书（示例命令：openssl req -new -x509 -key cakey.pem -out cacert.pem -days 3650）。
2. 生成设备证书：
   • 在内网设备上生成私钥和CSR（CN填写内网IP）。
3. 签发证书：
   • 将CSR提交至CA服务器，执行签发命令（如openssl ca -in device.csr -out device.crt -days 365）。
4. 部署证书：
   • 将设备证书（device.crt）和CA根证书（cacert.pem）配置到服务中，客户端需信任CA根证书以避免警告。

三、自签名证书（推荐测试/开发环境）

适用对象：内部测试、开发环境或对安全性要求不高的场景
操作步骤：

1. 生成私钥与CSR：
   • 使用OpenSSL生成2048位RSA私钥（openssl genrsa -out private.key 2048）和CSR。
2. 生成自签名证书：
   • 设置有效期（如365天），示例命令：openssl x509 -req -days 365 -in server.csr -signkey private.key -out server.crt。
3. 部署到服务：
   • 将private.key和server.crt配置到服务器，客户端需手动信任证书以消除警告。

关键注意事项

1. 端口开放要求：
   • 验证阶段需临时开放80/443端口，验证完成后可关闭。
2. 证书有效期管理：
   • 定期检查证书有效期（如提前30天设置提醒），避免服务中断。
3. 内网IP固定性：
   • 确保申请证书的内网IP为静态IP，动态IP需通过专业CA机构（如JoySSL）解决。
4. 扩展验证（EV）限制：
   • EV证书不支持IP地址申请，仅限域名。