| 正确做法 | 在 SAN 中写入 iPAddress，而非把 IP 写进 CN |
|---|---|
| 内网方案 | 私有 CA 签发含 IP SAN 的证书，或统一改走域名 |
| 公网限制 | 对 IP 签发公开信任证书受 CA/B 规则严格限制 |
检查 IP SAN 是否存在
检查 IP SAN 是否存在
openssl s_client -connect 10.0.0.10:443 </dev/null 2>/dev/null | openssl x509 -noout -text | grep -A2 'Subject Alternative Name'
openssl verify -CAfile ca.pem -verify_ip 10.0.0.10 cert.pem校验工具通常区分 -verify_hostname 与 -verify_ip，用错参数会得到不符合预期的结论。