Yalnız VPN ilə işləyən sayt üçün sertifikat: DNS-01 yoxsa xüsusi CA?

Yalnız VPN ilə işləyən saytın sertifikatını necə alacağını üç şərt müəyyən edir: ictimai DNS zonasına nəzarət edib-etməməyiniz, host adının ictimai jurnallarda görünə bilib-bilməməsi və hər müştəriyə xüsusi etibar ankoru verilib-verilə bilməsi. İctimai və xüsusi marşrutların ikisi də işlək kilid yaradır və onlar fərqli suallara cavab verir. Bu şərtləri həll etmədən birini seçmək, saytın istəmədiyi ictimai sertifikatla, yaxud müştərilərin yarısının rədd etdiyi daxili sertifikatla qalması ilə nəticələnir.

Sertifikat adı sübut edir; VPN və daxili DNS isə yolu təmin edir.

Etibarlı ada iki yol

DNS-01 yoxlaması ilə ictimai emitent ad üzərində nəzarəti nəzarət etdiyiniz zonadakı TXT qeydi vasitəsilə sübut edir, beləliklə veb xidmət heç vaxt ictimai HTTP bağlantısını qəbul etmək məcburiyyətində qalmır. Xüsusi CA daxili adlar üçün son sertifikatlar verir və etibar ankorunu cihaz idarəetməsi ilə paylayır, beləliklə heç bir ictimai jurnal adı öyrənmir. İkisi də qanunidir və seçim rahatlıqdan deyil, həmin üç şərtdən irəli gəlir. Heç bir marşrut müştərinin ehtiyac duyduğu marşrutu və ya həlledici qeydini təmin etmir.

İctimai sertifikat həm də host adını sertifikat şəffaflığı jurnallarında dərc edir. Adın özü həssasdırsa, bu açıqlama sonradan kəşf ediləcək yan təsir deyil, dizayn qərarıdır.

Xidməti açıqlamadan DNS-01

Çağırış qeydi zonadakı qorunmuş prefiks altında TXT girişidir və emitent onu səlahiyyətli DNS-dən oxuyur. Bu qeydi yarada və silə bilən ACME müştərisi və DNS inteqrasiyası seçin və yeniləməyə dar səlahiyyət verin: zona üçün məhdud API etimadnaməsi və ya yalnız yoxlama üçün istifadə edilən nəzarətli host. Tətbiq serverinə bir sertifikatı yeniləmək üçün məhdudiyyətsiz qeydiyyatçı etimadnaməsi vermək tapşırığın ehtiyac duyduğundan qat-qat artıq səlahiyyətdir. Bir neçə sifariş eyni adı paylaşdıqda, TXT dəyərlərini ayrı saxlayın ki, birinin təmizlənməsi digərinin hələ ehtiyac duyduğu dəyəri silməsin.

Sabit gözləmə yerinə səlahiyyətli serverlərə qarşı yoxlama ilə yayılmanı gözləyin. Yayılma davranışı provayderdən asılıdır və bu gün işləyən gözləmə sabah haqqında sübut deyil.

İdarə olunan müştərilər və qəsdən xüsusi adlar

İdarə olunan cihazlar və qəsdən xüsusi adlar daxili CA-ya yaxşı uyğun gəlir. Etibarlı emitenti cihaz idarəetməsi ilə paylayın, sonra nəzərdə tutulan adlar üçün son sertifikatlar verin. Hər müştərinin həqiqətən hansı anbara müraciət etdiyini yoxlayın, çünki əməliyyat sisteminə bir idxal hər brauzer və tətbiq barədə universal iddia deyil. Son sertifikatın bərkidilməsi açıq şəkildə dəstəkləndiyi yerlərdə başqa bir seçimdir və son sertifikat dəyişdikcə əlavə etibar yeniləməsi bahasına gəlir.

Paylama kanalı açar qədər vacibdir: heç kimin quraşdırmadığı kök heç nəyi qorumur.

Yeniləmə dizaynın bir hissəsidir

Hansı marşrutu seçsəniz də, yeniləmənin sahibi və proseduru olmalıdır. Yoxlama sübutunu təzələmək, yeni materialı quraşdırmaq və dinləyicini dəstəklənən mexanizmi ilə yenidən yükləmək üç ayrı addımdır və yalnız birincisini əksər ACME müştəriləri avtomatlaşdırır. Düzgün yenilənən, lakin heç vaxt yüklənməyən sertifikat, vaxtı keçmiş sertifikatla eyni fasilə yaradır.

Sertifikat VPN marşrutunu quraşdırmır və daxili DNS qeydini yaratmır. Müştərilər hələ də adı xüsusi ünvana uyğunlaşdıran həllediciyə və ora çatmaq üçün marşruta ehtiyac duyur. Saytı hər ikisinə malik müştəridən adla sınaqdan keçirin.

Emitenti, yoxlama metodunu, etibar paylama kanalını və yenidən yükləmə mexanizmini qeyd edin. O dördü yeniləmə planıdır.