OpenSSL X509_V_ERR_IP_ADDRESS_MISMATCH: IP address mismatch

Что означает ошибка

IP-адрес, который проверяет клиент, не совпадает с IP identity в сертификате.

Возможные причины

• Клиент проверяет соединение по IP, а сертификат содержит только DNS SAN.
• В IP SAN записан другой адрес.
• После миграции endpoint IP изменился, а сертификат остался старым.

Что проверить

• Проверьте SAN и наличие `IP Address:` значения.
• Уточните, выполняет ли приложение проверку по IP или по DNS hostname.
• Сравните сертификат на каждом адресе балансировщика.

Безопасные шаги

1. Для обычного HTTPS используйте корректное DNS-имя, если сертификат выпущен на него.
2. Если IP identity действительно требуется, перевыпустите сертификат с правильным IP SAN.
3. Не отключайте hostname/IP verification как постоянный обход.

Только безопасные обратимые действия. Опасные шаги — только по официальной инструкции и с пониманием рисков.

Когда нужен сервис

• Если библиотека выбирает IP-проверку неожиданно, передайте URL, resolved address и verify parameters разработчику приложения.

Похожие ошибки

• /errors/openssl-unable-to-get-issuer-cert/
• /errors/openssl-unable-to-get-crl/
• /errors/openssl-cert-signature-failure/

Что учитывать

Точная причина зависит от версии ПО/прошивки, полного текста ошибки и контекста. Официальная инструкция имеет приоритет.

Официальный источник

Расшифровка сверена с официальными страницами поддержки из источников ниже. Редакция N1RO не диагностировала ваш конкретный случай.

• OpenSSL 3.6 X509_STORE_CTX_get_error — X509_V_ERR_IP_ADDRESS_MISMATCH