Сертыфікат для сайта, даступнага толькі праз VPN: DNS-01 ці прыватны CA?

Тры ўмовы вызначаюць, як сайт, даступны толькі праз VPN, павінен атрымаць свой сертыфікат: ці кантралюеце вы публічную зону DNS, ці можа імя хоста з’явіцца ў публічных журналах, і ці можна кожнаму кліенту даць прыватны якар даверу. Публічны і прыватны шляхі абодва даюць працаздольны замок, і яны адказваюць на розныя пытанні. Выбар аднаго з іх без вызначэння гэтых умоў — гэта шлях да таго, што сайт атрымае публічны сертыфікат, якога не хацеў, або унутраны, які адхіліць палова кліентаў.

Сертыфікат пацвярджае імя; VPN і ўнутраны DNS забяспечваюць шлях.

Два шляхі да даверанага імені

Публічны ўстаноўца з праверкай DNS-01 пацвярджае кантроль над іменем праз запіс TXT у зоне, якой вы кіруеце, таму вэб-сэрвісу ніколі не даводзіцца прымаць публічнае HTTP-злучэнне. Прыватны CA выдае канцавыя сертыфікаты для ўнутраных імёнаў і размяркоўвае свой якар даверу праз кіраванне прыладамі, таму ніводзін публічны журнал не даведаецца імя. Абодва варыянты законныя, і выбар вынікае з тых трох умоў, а не зручнасці. Ні адзін з шляхоў не дае маршрут або запіс рэзалвера, які патрэбны кліенту.

Публічны сертыфікат таксама публікуе імя хоста ў журналах празрыстасці сертыфікатаў. Калі само імя чуллівае, гэтае раскрыццё — рашэнне праекта, а не пабочны эфект, які выявіцца пазней.

DNS-01 без раскрыцця сэрвісу

Запіс выкліку — гэта запіс TXT пад зарэзерваваным прэфіксам у зоне, і ўстаноўца чытае яго з аўтарытэтнага DNS. Выбераце кліент ACME і інтэграцыю DNS, якія могуць ствараць і выдаляць гэты запіс, і дазваляйце абнаўленне вузка: абмежаваныя ўліковыя даныя API для зоны або кантраляваны хост, які выкарыстоўваецца толькі для праверкі. Даваць серверу праграмы неабмежаваныя ўліковыя даныя рэгістратара, каб абнавіць адзін сертыфікат, — гэта значна больш правоў, чым патрабуе задача. Калі некалькі заказаў падзяляюць імя, трымайце іх значэнні TXT асобна, каб прыбіранне аднаго не выдаліла значэнне, якое яшчэ патрэбна іншаму.

Чакайце распаўсюджвання з праверкай супраць аўтарытэтных сервераў, а не з фіксаваным чаканнем. Паводзіны распаўсюджвання залежаць ад пастаўшчыка, і чаканне, якое працуе сёння, не доказ пра заўтра.

Кіраваныя кліенты і свядома прыватныя імёны

Кіраваныя прылады і свядома прыватныя імёны добра адпавядаюць унутранаму CA. Размяркуйце даверанага ўстаноўцу праз кіраванне прыладамі, затым выдайце канцавыя сертыфікаты для патрэбных імёнаў. Праверце, якое сховішча насамрэч выкарыстоўвае кожны кліент, бо адзін імпарт у аперацыйную сістэму — не ўніверсальная заява пра кожны браўзер і праграму. Замацаванне канцавога сертыфіката — яшчэ адзін варыянт там, дзе яно яўна падтрымліваецца, цаной чарговага абнаўлення даверу пры кожнай змене канцавога сертыфіката.

Канал размеркавання важны не менш за ключ: корань, які ніхто не ўсталюе, нічога не абараняе.

Абнаўленне — частка праекта

Які б шлях вы ні абралі, абнаўленне патрабуе ўладальніка і працэдуры. Абнаўленне доказа праверкі, усталёўка новага матэрыялу і перазагрузка слухача праз яго падтрымліваемы механізм — тры асобныя крокі, і толькі першы аўтаматызуецца большасцю кліентаў ACME. Сертыфікат, які абнаўляецца правільна, але ніколі не загружаецца, дае такі ж збой, як і пратэрмінаваны.

Сертыфікат не ўсталёўвае маршрут VPN і не стварае ўнутраны запіс DNS. Кліентам па-ранейшаму патрэбны рэзалвер, які суадносіць імя з прыватным адрасам, і маршрут, каб да яго дабрацца. Праверце сайт па імені з кліента, у якога ёсць і тое, і другое.

Запішыце ўстаноўцу, метад праверкі, канал размеркавання даверу і механізм перазагрузкі. Гэтыя чатыры пункты і ёсць план абнаўлення.