Şəxsi IP-yə HTTPS: sertifikat kimliyi, yoxsa host adı?
Şəxsi IP, sertifikat bunu göstərirsə, etibarlı TLS kimliyi ola bilər. IP SAN ilə sabit host adı arasında seçim edin, sonra ünvan dəyişikliyini planlayın.
https://10.60.0.25 ünvanındakı xidmətiniz DNS adı olmadan da autentifikasiyalı TLS-ə sahib ola bilər. Ünvan müştərinin yoxlamalı olduğu kimlikdir və sertifikat onu dəqiq təsvir etməlidir. Qərar, bu ünvanın kimlik olmaq üçün kifayət qədər sabit olub-olmaması və host adının saxlanmasının daha asan olub-olmamasıdır. VPN əlçatanlıq sualına cavab verir; bu suala cavab vermir.
Kimliyi və etimadı düzgün qurun, IP-yə əsaslanan URL qanuni bir dizayn olar.
Müştəri əslində nəyi yoxlayır
Müştəri URL-dəki istinad kimliyini sertifikatın alternativ subyekt adları ilə müqayisə edir. IP ünvanı üçün bu, ünvana bərabər iPAddress qeydi deməkdir. Dostuqvari ümumi ad bunu əvəz etmir.
RFC 9525 IP ünvanı kimliklərini DNS adlarından ayırır və uyğunlaşdırma qaydasını müəyyənləşdirir. Ünvanı yalnız subyekt etiketinə və ya DNS tipli qeyd kimi yerləşdirmək uyğunluq yaratmır. Buna görə xəbərdarlıq görünəndə yoxlanılacaq sahə SAN-dir.
Etimad ikinci, müstəqil yoxlamadır. Ad uyğunluğu etibarsız zənciri, vaxtı keçmiş sertifikatı və ya başqa məqsəd üçün verilmiş sertifikatı düzəltmir.
Birinci qərar: ünvan kimlik olmaq üçün kifayət qədər sabitdirmi
Ünvan yerləşdirmənin bütün ömrü boyu sabitdirsə, IP SAN sertifikatı sadə və dürüstdür. Xidmət köçə bilərsə, hər köçmə sertifikat dəyişdirilməsinə və əlaqələndirilmiş müştəri yenilənməsinə çevrilir.
Sabit host adı bu əlaqəni azaldır. Müştərilər adı istifadə edir, təsdiqlənmiş DNS onu cari ünvana uyğunlaşdırır və ünvan dəyişikliyi artıq kimlik dəyişikliyi olmur. Sertifikat hələ də yenilənməlidir, amma URL dəyişmir.
İdarə olunan hosts faylı qeydi kiçik mühitdə uyğunlaşdırmanı təmin edə bilər. Bu, paylama məsuliyyəti əlavə edir; TLS yoxlamasını əvəz etmir.
İkinci qərar: müştəri emitenti necə etimadlandıracaq
Şəxsi CA üçün etimad ankerini təsdiqlənmiş mexanizm vasitəsilə nəzərdə tutulan cihazlara paylayın. İstifadəçiləri xəbərdarlıqları keçməyə və ya giriş səhifəsindən verilən sertifikatı quraşdırmağa öyrətməyin. İctimai etimadlı sertifikat istəyirsinizsə, planlamadan əvvəl emitentin şəxsi ünvanlar üçün cari qaydalarını yoxlayın. Əksər ictimai emitentlər şəxsi IP-ni ictimai kimlik kimi təsdiqləməyəcək.
Faktiki brauzeri və ya tətbiqi nəzərdən keçirin. Onun etimad anbarı və yoxlama davranışı əməliyyat sisteminin ümumi sertifikat sənədlərindən daha vacibdir. Bunu yalnız konsolda deyil, faktiki cihazda yoxlayın.
VPN şlüzü veb tətbiqini işlədən maşın olmaya bilər, buna görə tunelin sertifikatının bununla hər hansı əlaqəsi olduğunu güman etməyin.
Ünvan dəyişikliyini baş verməzdən əvvəl planlayın
10.60.0.25 10.60.0.40 olsa, köhnə sertifikat artıq URL-i təsvir etmir. Dəyişdirməni və müştəri yenilənməsini birlikdə planlayın və köçmə zamanı yoxlamanı heç vaxt söndürməyin.
İstifadəçilərin yazacağı və ya tətbiqlərin konfiqurasiya edəcəyi kimliyi seçin, sonra verilmə, etimad, yerləşdirmə və yenilənməni onun ətrafında uyğunlaşdırın. Kənara qoyulmuş xəbərdarlıqla əlçatan səhifə, müştərinin kimliyini yoxladığı xidmətlə eyni nəticə deyil.