HTTPS да прыватнага IP: ідэнтычнасць сертыфіката ці імя хоста?
Прыватны IP можа быць сапраўднай ідэнтычнасцю TLS, калі сертыфікат гэта паказвае. Выбірайце паміж IP SAN і стабільным імем хоста, потым сплануйце змену адрасу.
Ваш сэрвіс на https://10.60.0.25 можа мець аўтэнтыфікаваны TLS нават без імя DNS. Адрас — гэта ідэнтычнасць, якую кліент павінен праверыць, і сертыфікат павінен апісваць яго дакладна. Рашэнне ў тым, ці гэты адрас дастаткова стабільны, каб быць ідэнтычнасцю, ці імя хоста было б прасцей падтрымліваць. VPN адказвае на пытанне дасяжнасці; на гэтае пытанне ён не адказвае.
Наладзьце ідэнтычнасць і давер правільна, і URL на аснове IP будзе законным рашэннем.
Што кліент насамрэч правярае
Кліент супастаўляе эталонную ідэнтычнасць з URL з альтэрнатыўнымі імёнамі суб'екта сертыфіката. Для IP-адрасу гэта азначае запіс iPAddress, роўны адрасу. Звыклае агульнае імя не замяняе яго.
RFC 9525 аддзяляе ідэнтычнасці IP-адрасоў ад імёнаў DNS і вызначае правіла супадзення. Калі паказаць адрас толькі ў метцы суб'екта або як запіс тыпу DNS, супадзення не будзе. Таму менавіта SAN трэба правяраць, калі з'яўляецца папярэджанне.
Давер — гэта другая, незалежная праверка. Супадзенне імені не выпраўляе недавераны ланцуг, пратэрмінаваны сертыфікат або сертыфікат, выдадзены для іншай мэты.
Рашэнне першае: ці адрас дастаткова стабільны, каб быць ідэнтычнасцю
Калі адрас фіксаваны на ўвесь тэрмін разгортвання, сертыфікат IP SAN просты і сумленны. Калі сэрвіс можа пераязджаць, кожны пераезд становіцца заменай сертыфіката і ўзгодненым абнаўленнем кліентаў.
Стабільнае імя хоста памяншае гэтую злучанасць. Кліенты выкарыстоўваюць імя, ухвалены DNS супастаўляе яго з бягучым адрасам, і змена адрасу перастае быць зменай ідэнтычнасці. Сертыфікат па-ранейшаму трэба абнаўляць, але URL не змяняецца.
Кіраваны запіс у файле hosts можа забяспечыць супастаўленне ў невялікім асяроддзі. Ён дадае адказнасць за распаўсюджванне; ён не замяняе праверку TLS.
Рашэнне другое: як кліент будзе давяраць эмітэнту
Для прыватнага CA распаўсюдзіце якар даверу на прызначаныя прылады праз ухвалены механізм. Не прывучайце карыстальнікаў праходзіць праз папярэджанні або ўсталёўваць сертыфікат, выдадзены на старонцы ўваходу. Калі вы хочаце публічна давераны сертыфікат, праверце бягучыя правілы эмітэнта для прыватных адрасоў, перш чым планаваць на іх. Большасць публічных эмітэнтаў не будуць правяраць прыватны IP як публічную ідэнтычнасць.
Разгледзьце фактычны браўзер або праграму. Яго сховішча даверу і паводзіны пры праверцы важнейшыя за агульную дакументацыю пра сертыфікаты аперацыйнай сістэмы. Праверце гэта на фактычнай прыладзе, а не толькі ў кансолі.
VPN-шлюз можа не быць машынай, якая запускае вэб-праграму, таму не думайце, што сертыфікат тунеля мае да гэтага нейкае дачыненне.
Сплануйце змену адрасу загадзя
Калі 10.60.0.25 стане 10.60.0.40, стары сертыфікат ужо не апісвае URL. Сплануйце замену і абнаўленне кліента разам і ніколі не адключайце праверку падчас пераезду.
Выберыце ідэнтычнасць, якую будуць уводзіць карыстальнікі або наладжваць праграмы, затым узгадніце вакол яе выдачу, давер, разгортванне і абнаўленне. Дасяжная старонка з адхіленым папярэджаннем — не той самы вынік, што сэрвіс, ідэнтычнасць якога кліент правярае.