发现了一个可以免费签 IP 地址 SSL 证书的网站

[q1angch0u]

分享给有需要的旁友~

https://zerossl.com/

[vazo]

@q1angch0u #20 吃完饭回来看了一下,签发了,签发用时 30 分钟左右.

[q1angch0u]

@tinkerer 哈哈哈，没事，下次我回复慢点~

[unnamedhao]

感觉 zerossl 的 ocsp 在国内比较慢

[q1angch0u]

@unnamedhao 要什么自行车…

[superchijinpeng]

1 分钟搞定

[oneisall8955]

听我说，谢谢你

[herozzm]

@tulongtou 比如你要用梯子，必须 https 加密，你还得为梯子单独申请一个域名？

[liubaicai]

听我说，

[alswl]

IP 的好处是可以防劫持，客户端用 HTTP DNS 拿 IP 。

[q1angch0u]

@oneisall8955
@liubaicai
听我说，谢谢你，感谢有你，温暖了四季~

[pcbl]

@q1angch0u 如果只是想防止 cf 后面的源站 IP 暴露的话有更一劳永逸异一些的办法
1. 自签一个 10 年期或者更长的证书，添加到默认站点上就可以

2. 如果 Nginx 版本>1.19.4 可以使用 ssl_reject_handshake on;参数直接拒绝握手阶段的证书泄露问题
上面两种方式怎么应对非针对性的广泛扫描，如果被盯上了的话，还要把 cf 的 IP 加入到防火墙白名单才能防止对方带着域名去“碰撞”IP

[ZE3kr]

@pcbl 直接用 ufw 或者硬件防火墙阻止一切除 Cloudflare IP 的流量就行了。ssh 用跳板机

[ZeroClover]

只是防止套 CF 的源站暴露为什么要舍近求远而不用更直接更官方的方案？

https://www.cloudflare.com/products/tunnel/

不开放任何入站端口谁能扫到你？

[tulongtou]

@herozzm 你说的好像有道理。
不过即使不搭梯子，我也有好几个域名，你这说法在我这又不成立了。

[catteroLo]

这种 IP 证书可以绕过国内备案吗？

[f0rger]

不能签局域网吧，想给局域网 esxi 签一个

[kylix]

费了点功夫，终于成功申请了一个，感谢 OP ！

[q1angch0u]

@ZeroClover 我不想填付款方式;)

[q1angch0u]

@pcbl ip 套 ssl 证书是因为我是想用 ip 拨 sslvpn ，不想用域名拨，因为域名会有解析记录和我的 IP 绑定在一起;)
@ZE3kr 我没钱买硬件防火墙&&没有额外资源搭堡垒机
@ZeroClover ip 套 ssl 证书是因为我是想用 ip 拨 sslvpn ，不想用域名拨，因为域名会有解析记录和我的 IP 绑定在一起;)

[q1angch0u]

@kylix 客气~