【导读】

内网应用强制启用HTTPS已成等保2.0与信创环境刚性要求。但盲目套用公网免费SSL证书会导致浏览器持续报错、移动App校验失败、API调用中断等问题。新网提醒：内网场景必须依赖专用SSL证书策略与受控根证书分发机制。

内网HTTPS的信任本质不同于公网

公网SSL证书依托全球公认的根证书计划（如Microsoft Root Program），操作系统和浏览器预置数百个公信CA根证书。而内网设备运行于封闭网络，未接入公开信任锚点，即使安装了Let’s Encrypt等免费证书，客户端仍因找不到有效信任链拒绝建立TLS连接。

- 免费证书仅面向FQDN域名验证，不支持IP地址或内部主机名；
- 缺乏OCSP/CRL实时吊销能力，在高敏环境中构成风险盲区；
- 不提供国密SM2算法选项，难以满足金融、政务类客户的商用密码合规需求。

新网推荐三步落地内网SSL基础设施

依据《GB/T 39786-2021》及CMMI L5级运维标准，新网提出分级实施路线：

• 第一步：评估资产范围 —— 明确需加密的内网Web/API/数据库代理节点清单，区分生产、测试、开发三级环境；
• 第二步：部署私有CA —— 推荐采用新网国产化签名服务器+硬件密码机组合架构，支持RSA/SM2双算法引擎；
• 第三步：统一分发管控 —— 使用AD组策略/GPO推送根证书至Windows终端，MDM平台下发至iOS/Android设备，保障全生命周期可信。

常见误区与替代方案辨析

部分团队尝试自建OpenSSL CA或复用域控制器证书模板，存在显著隐患：

• 缺乏时间戳服务与日志归档功能，不符合ISO 27001取证要求；
• 缺少自动化轮换接口，导致过期证书引发批量故障；
• 未集成HSM保护私钥，一旦DC失陷即造成整套信任体系崩塌。

新网SSL证书服务体系覆盖从咨询规划、私有CA搭建到年度健康巡检全流程，全部组件通过国家密码管理局认证。

结语：安全不是配置项，而是设计前提

内网HTTPS不应是上线前临时补救动作。应将SSL证书纳入DevSecOps流程起点，嵌入CI/CD流水线完成自动申请、绑定与更新。新网提供标准化RESTful API对接Kubernetes Ingress/Nginx Controller，实现零人工干预交付。

延伸阅读：
• 如何为Kubelet与etcd集群配置双向mTLS通信？
• 国产OS环境下如何静默导入根证书而不触发UAC弹窗？