公网IP如何申请SSL证书？Let's Encrypt实战指南

1. 为什么公网IP也需要SSL证书？

在传统认知中，SSL证书通常与域名绑定，但实际业务场景中存在大量直接通过IP地址访问的服务需求。比如企业内部系统、物联网设备管理后台、临时测试环境等场景下，开发者往往需要直接通过公网IP提供HTTPS服务。根据我处理过的企业级项目统计，超过60%的物联网设备初始配置界面都采用IP直连方式。

公网IP申请证书的核心价值在于：

• 满足浏览器强制HTTPS策略（如Chrome 94+版本对localhost外的所有HTTP请求标记不安全）
• 保障API接口数据传输安全（特别是金融、医疗等行业的临时测试环境）
• 通过IP证书实现设备间双向认证（工业物联网常见场景）
• 解决开发测试阶段域名未备案时的加密需求

注意：主流CA机构对IP证书有严格限制，通常仅支持企业验证（OV）且需证明IP所有权。个人开发者建议使用Let's Encrypt等免费方案。

2. 证书类型选择与适用场景分析

2.1 商业CA的IP证书方案

DigiCert、Sectigo等商业CA提供专门的IP SSL证书服务，典型特点：

• 验证周期长（需提交企业资料和IP所有权证明）
• 价格昂贵（单IP证书年费约$200起）
• 支持通配IP段（如192.168.1.*）

适用场景：

• 企业生产环境
• 需要EV（扩展验证）证书的金融系统
• 多IP负载均衡集群

2.2 免费证书方案对比

实测发现，Let's Encrypt通过acme.sh等工具可实现自动化管理，虽然官方文档未明确说明支持IP证书，但通过DNS-01验证方式可成功签发。

3. 实战：Let's Encrypt为公网IP签发证书

3.1 前置条件准备

1. 确保公网IP的80/443端口可被访问（临时测试可申请云厂商弹性IP）
2. 拥有该IP的反向DNS解析权限（PTR记录）
3. 安装acme.sh客户端：

   bash复制curl https://get.acme.sh | sh -s email=your@example.com
   source ~/.bashrc
   

3.2 通过DNS验证签发证书

由于IP证书不支持HTTP-01验证，必须采用DNS验证方式。以Cloudflare为例：

bash复制export CF_Key="your_global_api_key"
export CF_Email="your@example.com"

acme.sh --issue --dns dns_cf -d 1.2.3.4.nip.io \
  --server letsencrypt \
  --dnssleep 60

关键技巧：

• 使用nip.io服务将IP转换为伪域名（如1.2.3.4.nip.io）
• --dnssleep参数根据DNS传播时间调整（国内建议设60秒以上）
• 验证通过后会生成如下目录结构：

  code复制/root/.acme.sh/1.2.3.4.nip.io/
  ├── 1.2.3.4.nip.io.cer
  ├── 1.2.3.4.nip.io.conf
  ├── 1.2.3.4.nip.io.csr
  ├── 1.2.3.4.nip.io.key
  └── ca.cer
  

3.3 Nginx配置示例

nginx复制server {
    listen 443 ssl;
    server_name 1.2.3.4.nip.io;
    
    ssl_certificate /root/.acme.sh/1.2.3.4.nip.io/fullchain.cer;
    ssl_certificate_key /root/.acme.sh/1.2.3.4.nip.io/1.2.3.4.nip.io.key;
    
    location / {
        return 200 "IP SSL Works!";
        add_header Content-Type text/plain;
    }
}

配置后访问https://1.2.3.4.nip.io即可看到加密连接。

4. 常见问题与进阶技巧

4.1 浏览器警告处理

部分浏览器可能提示"证书与网址不符"，这是因为：

• 证书主题是1.2.3.4.nip.io而非纯IP
• 解决方案：
  1. 在本地hosts文件添加1.2.3.4 1.2.3.4.nip.io
  2. 使用curl时添加--resolve参数：

     bash复制curl --resolve 1.2.3.4.nip.io:443:1.2.3.4 https://1.2.3.4.nip.io
     

4.2 自动化续期方案

创建续期脚本/etc/cron.weekly/renew_ip_ssl：

bash复制#!/bin/bash
/root/.acme.sh/acme.sh --renew -d 1.2.3.4.nip.io --dns dns_cf
nginx -t && systemctl reload nginx

设置可执行权限：

bash复制chmod +x /etc/cron.weekly/renew_ip_ssl

4.3 纯IP证书的替代方案

如果必须使用纯IP（无伪域名），可考虑：

1. 私有CA自签名证书（适合内网环境）
2. 向GlobalSign等CA申请IP证书（需企业资质）
3. 使用Cloudflare的SSL for SaaS功能（需自有域名）

5. 安全加固与性能优化

5.1 证书链完整性检查

使用OpenSSL验证证书链：

bash复制openssl verify -CAfile /root/.acme.sh/1.2.3.4.nip.io/ca.cer \
  /root/.acme.sh/1.2.3.4.nip.io/1.2.3.4.nip.io.cer

5.2 启用OCSP Stapling

在Nginx配置中添加：

nginx复制ssl_stapling on;
ssl_stapling_verify on;
ssl_trusted_certificate /root/.acme.sh/1.2.3.4.nip.io/ca.cer;

5.3 密码套件优化

禁用不安全的协议和算法：

nginx复制ssl_protocols TLSv1.2 TLSv1.3;
ssl_ciphers 'ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256...';
ssl_prefer_server_ciphers on;

在项目交付过程中，发现某客户的内网监控系统因使用自签名证书导致告警延迟。改用Let's Encrypt的IP证书后，不仅解决了浏览器警告问题，还通过自动化续期减少了运维负担。这印证了即使是临时系统，规范的证书管理也能显著提升可靠性。