Добрый день!

Подскажите пожалуйста, куда копать.

Пытаемся настроить работу пользователей с порталом, имеющим несколько поддоменов, по ГОСТовому HTTPS. У пользователей установлен КриптоПро CSP 4.0, в качестве TLS сервера используется Континент TLS Сервер. На TLS-сервере настроено 3 ресурса:
https://sub.portal.company.ru - портал
https://vc.sub.portal.company.ru - поддомен 1
https://mm.sub.portal.company.ru - поддомен 2
, все на одном wildcard сертификате, каждый в режиме аутентификации пользователей по сертификату.

Хотим добиться чтобы пользователь мог использовать все 3 ресурса, предъявив свой сертификат только один раз, wildcard сертификат на TLS сервере настроили рассчитывая что будет такое поведение. Но сейчас запрос на выбор сертификата выводится пользователю для каждого ресурса, т.е. 3 раза (пробовали IE, ЯндексБраузер). Проконсультировались с поставщиком TLS сервера, получили рекомендации разбирать данную проблему со стороны TLS-клиента, т.к. такое поведение задаётся на на стороне клиента, а не сервера.

Подскажите, почему в описанном сценарии сертификат пользователя запрашивается три раза вместо одного? Можно ли решить это настройками КриптоПро 4.0 CSP или другими настройками на пользовательском АРМ?

Содержимое wildcard сертификата:
В Subject:
CN = *.portal.company.ru
В subjectAltName:
DNS-имя=*.portal.company.ru

Сходу кажется, что исходная задача нереализуема со стороны клиента, да и со стороны сервера будут проблемы. Как заставить браузер использовать одно и то же https соединение?
Лучше разложить саб-порталы по виртуальным директориям.

Вы имеете в виду вместо поддоменов:
https://sub.portal.company.ru
https://vc.sub.portal.company.ru
https://mm.sub.portal.company.ru

использовать адреса:
https://sub.portal.company.ru
https://sub.portal.company.ru/vc
https://sub.portal.company.ru/mm
?

Мы такой схемы как раз хотели избежать, и использовать поддомены. Но если затея с поддоменами гиблая, то наверное придётся вернуться к такому варианту.

Отредактировано пользователем 7 мая 2020 г. 1:06:09(UTC)  | Причина: Не указана

Звёздочка в домене мачится только на один уровень.
Т.е. только на sub.portal.company.ru, но не на ignore.sub.portal.company.ru.