شهادة لموقع يعمل عبر VPN فقط: DNS-01 أم جهة إصدار خاصة؟

ثلاثة شروط تحدد كيف ينبغي لموقع يعمل عبر VPN فقط أن يحصل على شهادته: هل تتحكم في منطقة DNS عامة، وهل يجوز أن يظهر اسم المضيف في السجلات العامة، وهل يمكن منح كل عميل نقطة ثقة خاصة. المساران العام والخاص كلاهما ينتج قفلًا يعمل، وكلاهما يجيب عن سؤال مختلف. واختيار أحدهما دون حسم تلك الشروط هو ما ينتهي بموقع إلى شهادة عامة لم يردها، أو شهادة داخلية يرفضها نصف العملاء.

الشهادة تثبت الاسم؛ أما VPN وDNS الداخلي فيوفران المسار.

مساران إلى اسم موثوق

جهة إصدار عامة مع تحقق DNS-01 تثبت التحكم في اسم عبر سجل TXT في منطقة تتحكم فيها، فلا يضطر خدمة الويب إلى قبول اتصال HTTP عام أبدًا. وجهة إصدار خاصة تصدر شهادات ورقية للأسماء الداخلية وتوزع نقطة ثقتها عبر إدارة الأجهزة، فلا يتعلم أي سجل عام الاسم. كلاهما مشروع، والاختيار ينبع من تلك الشروط الثلاثة لا من الراحة. ولا أحد من المسارين يوفر المسار أو مدخل المحلل الذي يحتاجه العميل.

الشهادة العامة تنشر أيضًا اسم المضيف في سجلات شفافية الشهادات. وإذا كان الاسم نفسه حساسًا، فإن ذلك الكشف قرار تصميمي لا أثر جانبي يُكتشف لاحقًا.

DNS-01 دون كشف الخدمة

سجل التحدي هو مدخل TXT تحت بادئة محجوزة في المنطقة، وتقرأه جهة الإصدار من DNS الموثوق. اختر عميل ACME وتكامل DNS قادرين على إنشاء ذلك السجل وحذفه، وصرّح بالتحديث بضيق: بيانات اعتماد API محدودة النطاق للمنطقة، أو مضيف مُدار يُستخدم للتحقق فقط. ومنح خادم التطبيق بيانات اعتماد مسجل غير مقيدة لتجديد شهادة واحدة سلطة أكبر بكثير مما تحتاجه المهمة. وعندما تتشارك عدة طلبات اسمًا واحدًا، أبقِ قيم TXT الخاصة بها متمايزة حتى لا يزيل تنظيف إحداها قيمة لا تزال أخرى تحتاجها.

انتظر الانتشار بفحص مقابل الخوادم الموثوقة بدلًا من نوم ثابت. سلوك الانتشار يختلف بحسب المزود، ونوم ينجح اليوم ليس دليلًا على الغد.

العملاء المُدارون والأسماء الخاصة عن قصد

الأجهزة المُدارة والأسماء الخاصة عن قصد تناسب جهة إصدار داخلية جيدًا. وزّع جهة الإصدار الموثوقة عبر إدارة الأجهزة، ثم أصدر شهادات ورقية للأسماء المقصودة. تحقق من المخزن الذي يستخدمه كل عميل فعليًا، لأن استيرادًا واحدًا في نظام التشغيل ليس ادعاءً شاملًا عن كل متصفح وتطبيق. وتثبيت شهادة الورقة خيار آخر حيث يُدعم صراحة، مقابل تحديث ثقة إضافي كلما تغيرت الورقة.

قناة التوزيع لا تقل أهمية عن المفتاح: جذر لا يثبته أحد لا يحمي شيئًا.

التجديد جزء من التصميم

أي مسار تختار، يحتاج التجديد إلى مالك وإجراء. تحديث دليل التحقق، وتثبيت المادة الجديدة، وإعادة تحميل المستمع عبر آليته المدعومة، ثلاث خطوات منفصلة، وأولها فقط تؤتمته معظم عملاء ACME. والشهادة التي تُجدد بشكل صحيح لكنها لا تُحمّل أبدًا تنتج نفس الانقطاع الذي تنتجه شهادة منتهية.

الشهادة لا تثبت مسار VPN ولا تنشئ سجل DNS الداخلي. لا يزال العملاء بحاجة إلى محلل يربط الاسم بالعنوان الخاص وإلى مسار للوصول إليه. اختبر الموقع بالاسم من عميل يملك الاثنين.

سجّل جهة الإصدار، وطريقة التحقق، وقناة توزيع الثقة، وآلية إعادة التحميل. تلك الأربعة هي خطة التجديد.