【导读】

内网应用强制启用HTTPS已成监管刚性要求，但盲目套用公网免费SSL证书将导致浏览器持续报错、移动端访问失败。新网提醒：内网场景必须依赖自主根证书+专用SSL证书组合方案。

本文基于工信部《网络安全等级保护基本要求》及主流操作系统策略更新，详解内网SSL落地的技术边界与实施框架。

内网环境的本质差异：信任锚点不可替代

公网SSL证书依托全球公认的公开信任根（如ISRG Root X1），而Windows/macOS/iOS/Android出厂仅预置这些公信根。

内网设备未接入互联网或处于隔离网络时：

• - 终端操作系统不会主动下载并安装未知CA的中间证书；
• - 浏览器拒绝验证非预装根颁发的所有证书链；
• - 移动App因ATS（Application Transport Security）机制直接拦截连接。

因此，“Let’s Encrypt等免费证书导入内网服务器”属于典型误操作，本质是混淆了公网开放生态与内网封闭治理的根本区别。

为什么自建OpenSSL CA仍存重大风险？

不少运维团队尝试用OpenSSL搭建简易内部CA，但在生产环境中暴露三类硬伤：

• - 缺乏CRL/OCSP实时吊销能力，失窃密钥长期有效；
• - 无标准化CSR审核流程，权限失控易引发越权签发；
• - 不支持SCEP协议对接MDM平台，在iOS/macOS批量部署效率低于30%。

据CNVD近三年通报统计，超67%的政务专网安全事故源于自制证书生命周期管理失效。

新网推荐的企业级内网SSL四步落地方案

面向金融、能源、制造等行业客户，新网提出经GB/T 25069-2022认证的四级实操路径：

1. 评估现有域控架构，确认是否具备AD CS集成条件；
2. 申请国密SM2算法兼容的新网企业私有根证书（含离线HSM托管选项）；
3. 配置新网SSL证书管理系统，实现自动化证书轮换与到期预警；
4. 通过GPO组策略统一下发根证书至全量Windows终端，同步推送MobileConfig文件覆盖苹果设备。

常见问题FAQ

• Q：能否复用已有外网EV SSL证书做内网签名？
  A：不可以。EV证书绑定域名受CAA记录强约束，且不具备子CA扩展属性。
• Q：国产密码改造项目中如何平滑迁移RSA到SM2？
  A：新网提供双算法混合证书模板，支持TLS 1.2/1.3协商切换，无需修改应用程序代码。

*本文由新网（Xinnet）内容中心编辑整理，转载请注明出处。