HTTPS إلى عنوان IP خاص: هوية الشهادة أم اسم المضيف؟
يمكن أن يكون عنوان IP خاص هوية TLS صالحة إذا نصّت الشهادة على ذلك. اختر بين SAN لعنوان IP واسم مضيف مستقر، ثم خطّط لتغيير العنوان.
يمكن أن تكون خدمتك على https://10.60.0.25 مؤمّنة بـ TLS موثّق حتى دون اسم DNS. العنوان هو الهوية التي يجب على العميل التحقق منها، وعلى الشهادة أن تصفه بدقة. القرار هو ما إذا كان ذلك العنوان مستقرًا بما يكفي ليكون هوية، أم أن اسم مضيف سيكون أسهل في الصيانة. الـ VPN يجيب عن إمكانية الوصول؛ ولا يجيب عن هذا.
اضبط الهوية والثقة بشكل صحيح، وسيكون عنوان URL قائمًا على IP تصميمًا مشروعًا.
ما يتحقق منه العميل فعليًا
يقارن العميل الهوية المرجعية في عنوان URL بأسماء النطاق البديلة في الشهادة. بالنسبة لعنوان IP، يعني ذلك إدخال iPAddress يساوي العنوان. ولا يغني الاسم الشائع الودود عن ذلك.
RFC 9525 يفصل هويات عنوان IP عن أسماء DNS ويحدد قاعدة المطابقة. ووضع العنوان في حقل الموضوع فقط، أو كإدخال من نوع DNS، لا ينتج مطابقة. ولهذا يكون SAN هو الحقل الذي يجب فحصه عند ظهور تحذير.
الثقة فحص ثانٍ ومستقل. ولا تصلح مطابقة الاسم سلسلة غير موثوقة أو شهادة منتهية أو شهادة صادرة لغرض آخر.
القرار الأول: هل العنوان مستقر بما يكفي ليكون هوية
إذا كان العنوان ثابتًا طوال عمر النشر، فإن شهادة SAN لعنوان IP بسيطة وصادقة. وإذا كان من الممكن أن تنتقل الخدمة، يصبح كل انتقال استبدالًا للشهادة وتحديثًا منسّقًا للعملاء.
اسم المضيف المستقر يقلّل هذا الارتباط. يستخدم العملاء الاسم، ويحوله DNS المعتمد إلى العنوان الحالي، ويتوقف تغيير العنوان عن كونه تغييرًا للهوية. لا تزال الشهادة بحاجة إلى تجديد، لكن عنوان URL لا يتغير.
يمكن لإدخال hosts مُدار أن يوفر التعيين في بيئة صغيرة. وهو يضيف مسؤولية توزيع؛ ولا يحل محل التحقق من TLS.
القرار الثاني: كيف سيثق العميل بالمُصدر
بالنسبة لمرجع شهادات خاص، وزّع نقطة الثقة على الأجهزة المقصودة عبر آلية معتمدة. لا تدرّب المستخدمين على النقر عبر التحذيرات أو تثبيت شهادة تُسلّم لهم من صفحة تسجيل دخول. إذا أردت شهادة موثوقة علنًا، فتحقق من قواعد المُصدر الحالية للعناوين الخاصة قبل أن تخطط بناءً عليها. ولن تتحقق معظم الجهات العامة من عنوان IP خاص كهوية عامة.
راجع المتصفح أو التطبيق الفعلي. فمخزن الثقة وسلوك التحقق فيه أهم من الوثائق العامة لشهادات نظام التشغيل. افحصه على الجهاز الفعلي، وليس في وحدة التحكم فقط.
قد لا تكون بوابة VPN هي الجهاز الذي يشغّل تطبيق الويب، لذا لا تفترض أن لشهادة النفق أي علاقة بهذه الشهادة.
خطّط لتغيير العنوان قبل حدوثه
إذا أصبح 10.60.0.25 هو 10.60.0.40، فلم تعد الشهادة القديمة تصف عنوان URL. خطّط للاستبدال وتحديث العميل معًا، ولا تعطّل التحقق أبدًا أثناء الانتقال.
اختر الهوية التي سيكتبها المستخدمون أو ستضبطها التطبيقات، ثم اضبط الإصدار والثقة والنشر والتجديد حولها. فصفحة يمكن الوصول إليها مع تحذير تم تجاهله ليست النتيجة نفسها كخدمة يتحقق العميل من هويتها.