Name Constraintsを設定した認証局の作成

参考文献

• SSL? 証明書? PKI? それっておいしいの?: RFC 5280 の 4.2.1.10. Name Constraints

• OpenSSL#Name_Constraints

• OpenSSL#Subject Alternative Name.

FreeBSD/OpenSSL/オレオレ認証局 - BugbearR's Wiki の手順を元に(ca_certではなくv3_caを使用して)CAを作成する際に、発行できる証明書をMMAドメイン以下のものに限定した。 [ v3_ca ]に次の設定を追加して./CA.sh -newcaを実行。

[ v3_ca ]
...
nameConstraints=permitted;DNS:mma.club.uec.ac.jp,permitted;DNS:mma.gr.jp

完成した証明書情報

            X509v3 Name Constraints: 
                Permitted:
                  DNS:mma.club.uec.ac.jp
                  DNS:mma.gr.jp

これで正しいか未確認 -> 駄目だった

jailのsource address matchingが動いていない件

NATでワークアラウンド・・・だと・・・