如何在CNAME映射域中处理ssl证书？

我观察到一个网站example.com与mysite.com有一个cname映射。example.com和mysite.com都有ssl证书

如果我错了，你能纠正吗

当浏览器尝试连接时，它会检查DNS，发现它与mysite.com有cname映射，并直接连接到mysite.com web服务器

当我观察到浏览器时，它有ssl证书，例如.com域。我在理解这个案例时面临着一个问题

若请求未转到example.com web服务器，浏览器如何获得example.com的ssl证书 或者我对cname映射的理解是错误的

---

或者example.com私钥和公钥与mysite.com Web服务器共享？

DNS和TLS完全独立运行

TLS用于验证服务器的FQDN（完全限定域名）的身份，其中包括加密。这是通过检查相关服务器是否能够提供由可信证书颁发机构（CA）签名的包含FQDN的证书来完成的

DNS用于将主机名解析为IP地址，以便在较低层上建立网络连接（如TCP连接）。这个解析是如何发生的，对于其他组件（如TLS）来说是完全透明的。名称解析是否涉及

A

，

AAAA

，或提及的

CNAME

记录并不重要-在我们的上下文中，输入总是一个主机名，输出总是一个（或多个）IP地址。一旦完成名称解析，中间结果（如

CNAME

映射）基本上被丢弃

---

这意味着TLS客户端始终使用用户最初请求的FQDN来验证证书，而不考虑任何

CNAME

映射。如何出示有效的证书取决于服务器-按照您的示例，FQDN

mysite.com

背后的服务器必须出示一份对

example.com

有效的证书，以便客户端接受它。如何生成此证书的私钥/公钥，以及它是否与其他证书或服务器共享并不重要。

我们必须将两个域的SSL证书显式附加到两个域的Web服务器/负载平衡器以支持HTTPS