HTTPS na 'n privaat IP: sertifikaatidentiteit of gasheernaam?
'n Privaat IP kan 'n geldige TLS-identiteit wees as die sertifikaat dit so aandui. Kies tussen 'n IP-SAN en 'n stabiele gasheernaam, en beplan dan die adresverandering.
Jou diens by https://10.60.0.25 kan geauthentiseerde TLS hê selfs sonder 'n DNS-naam. Die adres is die identiteit wat die kliënt moet valideer, en die sertifikaat moet dit presies beskryf. Die besluit is of daardie adres stabiel genoeg is om 'n identiteit te wees, of 'n gasheernaam makliker sou wees om te onderhou. Die VPN antwoord bereikbaarheid; dit antwoord nie hierdie vraag nie.
Kry die identiteit en die vertroue reg, dan is 'n IP-gebaseerde URL 'n geldige ontwerp.
Wat die kliënt werklik valideer
Die kliënt vergelyk die verwysingsidentiteit in die URL met die sertifikaat se alternatiewe vakname. Vir 'n IP-adres beteken dit 'n iPAddress-inskrywing wat gelyk is aan die adres. 'n Vriendelike algemene naam is nie 'n plaasvervanger nie.
RFC 9525 skei IP-adres-identiteite van DNS-name en definieer die passingreël. Om die adres slegs in die onderwerp-etiket of as 'n DNS-tipe inskrywing te plaas, lewer nie 'n passing nie. Daarom is die SAN die veld om na te kyk wanneer 'n waarskuwing verskyn.
Vertroue is 'n tweede, onafhanklike kontrole. 'n Naampassing maak nie 'n onvertroude ketting, 'n vervalde sertifikaat of 'n sertifikaat wat vir 'n ander doel uitgereik is, reg nie.
Besluit een: is die adres stabiel genoeg om 'n identiteit te wees
As die adres vas is vir die lewensduur van die ontplooiing, is 'n IP-SAN-sertifikaat eenvoudig en eerlik. As die diens kan skuif, word elke skuif 'n sertifikaatvervanging en 'n gekoördineerde kliëntopdatering.
'n Stabiele gasheernaam verminder daardie koppeling. Kliënte gebruik die naam, goedgekeurde DNS karteer dit na die huidige adres, en 'n adresverandering hou op om 'n identiteitsverandering te wees. Die sertifikaat het steeds hernuwing nodig, maar die URL verander nie.
'n Bestuurde hosts-lêerinskrywing kan die kartering in 'n klein omgewing verskaf. Dit voeg 'n verspreidingsverantwoordelikheid by; dit vervang nie TLS-verifikasie nie.
Besluit twee: hoe die kliënt die uitreiker sal vertrou
Vir 'n private CA, versprei die vertrouensanker aan die bedoelde toestelle deur 'n goedgekeurde meganisme. Moenie gebruikers leer om deur waarskuwings te klik of 'n sertifikaat te installeer wat hulle by 'n aanmeldbladsy gegee word nie. As jy 'n publiek vertroude sertifikaat wil hê, kyk na die uitreiker se huidige reëls vir private adresse voordat jy daarom beplan. Die meeste openbare uitreikers sal nie 'n private IP as 'n openbare identiteit valideer nie.
Kyk na die werklike blaaier of toepassing. Die vertrouensbewaarplek en valideringsgedrag daarvan is belangriker as die bedryfstelsel se algemene sertifikaatdokumentasie. Kontroleer dit op die werklike toestel, nie net in die konsole nie.
Die VPN-gateway is dalk nie die masjien wat die webtoepassing laat loop nie, so moenie aanvaar dat die tonnel se sertifikaat iets met hierdie een te doen het nie.
Beplan die adresverandering voordat dit gebeur
As 10.60.0.25 10.60.0.40 word, beskryf die ou sertifikaat nie meer die URL nie. Beplan die vervanging en die kliëntopdatering saam, en moenie verifikasie tydens die skuif deaktiveer nie.
Kies die identiteit wat gebruikers sal tik of toepassings sal konfigureer, en belyn dan uitreiking, vertroue, ontplooiing en hernuwing daarom. 'n Bereikbare bladsy met 'n weggeklikte waarskuwing is nie dieselfde resultaat as 'n diens wie se identiteit die kliënt verifieer nie.