【导读】内网系统未配置SSL证书正成为企业安全盲区。新网观察到超67%的政企内网Web管理后台仍运行HTTP协议。部署专用内网SSL证书，既是主动防御手段，也是等保测评关键扣分项。

内网并非法外之地：真实风险正在加剧

传统观念认为内网隔离即安全，但现实已发生根本改变：

• 办公终端普遍接入公网Wi-Fi或远程桌面，边界模糊导致横向渗透路径增多；
• 容器平台、微服务架构使API调用频繁跨主机通信，在缺乏TLS保护下请求体明文传输；
• 国家《网络安全等级保护基本要求》明确指出：“应采用密码技术保证重要数据在存储和传输过程中的保密性和完整性”。

据CNVD统计，2023年披露的内网提权漏洞中，41%利用了未加密管理接口实施凭据嗅探。

自建CA还是选用商用证书？两种模式深度对比

当前主流内网SSL实施方案包括两类：

1. 企业自建PKI体系并签发私有根证书——运维成本高，客户端信任链需逐台预置，不适用于BYOD设备；
2. 采购支持Subject Alternative Name（SAN）、兼容多域名/IP地址的商业SSL证书——无需改造现有基础设施，浏览器默认信任，适合混合云+本地IDC统一策略管控。

新网提供全系列适配内网场景的OV SSL证书，支持绑定IP地址、局域网DNS名及通配符，一次申请覆盖全部测试/生产内网节点。

面向开发与运维团队的四步落地指南

为保障平滑迁移，新网推荐如下标准化流程：

• 梳理待保护资产清单：含Kubernetes Dashboard、Jenkins主控页、Zabbix监控入口等高频访问端口；
• 确认证书类型需求：若仅限HTTPS单向认证，选择DV/OV级别即可；涉敏感审批流则建议EV增强型验证；
• 批量导入Nginx/Apache/OpenResty配置模板，复用已有反向代理层实现零代码升级；
• 设置自动化轮换机制：借助ACMEv2协议对接Certbot工具，规避人工过期疏漏风险。

结语：让每一跳内网通信都受信可控

SSL证书不是只对外网站才有的奢侈品。它已成为现代IT治理体系的基础组件之一。新网深耕数字证书领域逾二十年，持续优化内网专属证书交付时效与技术支持响应能力。目前平均审核周期压缩至2小时以内，同步开放免费在线CSR生成器与证书安装校验助手。

常见问题：
Q1：能否将同一张SSL证书同时用于多个不同子网内的服务器？
A1：可以，只要该证书包含对应各子网IP或FQDN在内的完整SAN扩展字段。
Q2：旧版本IE浏览器是否能识别新型国密SM2算法证书？
A2：需配合安装指定根证书及国密插件，新网提供双算法（RSA+SM2）融合证书选项以兼顾兼容性与前瞻性。

*本文由新网（Xinnet）内容中心编辑整理，转载请注明出处。