網域與 SAN 管理

葉子憑證只對其 主體備用名稱（SAN） 中列出的名稱有效。用戶端連線時，URL 中的網域名稱或 IP 必須與其中某個項目完全一致——不支援萬用字元，也不支援前綴比對。本頁介紹在伺服器端管理這份清單；用戶端側的檢查見最後一頁「用戶端嚴格驗證」。

自動探索

伺服器會持續探索自己可以被哪些名稱存取——目前的主機名稱和活動網卡的位址——並把它們列在 自動探索 下。這些項目跟隨機器本身，無法手工編輯：新增網卡或更改主機名稱後，清單會在下次續簽時自動更新。

額外網域與 IP 位址

自動探索並未涵蓋所有情況：DDNS 網域名稱、內外網分離的 DNS 記錄、NAT 後面的位址，都需要手工新增。在 額外網域與 IP 位址 下新增：

1. 輸入主機名稱或 IP 位址（例如 server.home.arpa 或 10.0.0.8），點擊 新增；
2. 對用戶端會使用的每個名稱重複上述操作。不需要的項目用垃圾桶按鈕移除；
3. 檢查 最終 SAN 預覽——自動探索項目與手工項目合併後的檢視，下一張憑證將包含這些名稱；
4. 點擊 儲存並重新簽發。儲存後會用新的 SAN 清單簽發一張新的 90 天葉子憑證並熱載入——現有連線保持不斷，新交握立即使用新憑證。

手動重簽與狀態

伺服器葉子憑證 面板顯示目前生效的憑證：狀態徽章、主體、SHA-256 指紋、有效期和 SAN 項目。狀態徽章的含義：

• 可用 — 已載入有效的葉子憑證並正在使用；
• 更新失敗 — 上次重簽失敗；上一張憑證繼續生效，錯誤訊息顯示在頁面上；
• 未產生 — 尚無 CA 或葉子憑證；用 產生 CA 與憑證 建立兩者。

重新簽發葉子憑證 會立即簽發一張新葉子憑證，而不等待自動觸發——適合在更改主機名稱或網卡之後立即使用，或用來讓 Web 介面之外做出的 SAN 修改生效。

分發 Root CA

要使用嚴格驗證的用戶端需要 Root CA 的公鑰憑證。從 私有 Root CA 卡片取得：

• 下載 Root CA 儲存 PEM 檔案；
• 複製 Root CA 把 PEM 放入剪貼簿，可直接貼到用戶端的 CA 欄位。

葉子憑證續簽或 SAN 修改都不會改變 CA——分發一次即可。在任何地方啟用嚴格驗證之前，請將本頁顯示的 SHA-256 指紋與用戶端收到的內容進行比對（見最後一頁「用戶端嚴格驗證」）。

下載和剪貼簿中的內容只包含 CA 公鑰憑證，絕不包含私鑰。只把它交給你希望能夠驗證這台伺服器的人。