Сертификаты и доверие

Во время рукопожатия сервер предъявляет сертификат: документ, в котором указано, для какого хоста он предназначен, когда истекает срок его действия и кто это подтверждает.

Любой может создать сертификат, заявив, что он предназначен для любого хоста, поэтому важна подпись. Сертификаты подписываются центром сертификации, а на вашем компьютере есть список доверенных центров:

ls -l /etc/ssl/certs/ca-certificates.crt

Ваш клиент проверяет три вещи: что сертификат подписан центром из этого списка, что он не просрочен и что указанное в нём имя совпадает с именем запрошенного вами хоста. Если не выполняется хотя бы одно из этих условий, соединение прекращается.

Именно поэтому последняя проверка часто завершается ошибкой для внутреннего сервиса, к которому обращаются по IP-адресу, даже при наличии действительного сертификата: сертификат предназначен для имени, а вы запросили число.