HTTPS към частен IP: идентичност на сертификата или име на хост?

Услугата ви на https://10.60.0.25 може да има удостоверен TLS дори без DNS име. Адресът е идентичността, която клиентът трябва да провери, и сертификатът трябва да го описва точно. Решението е дали този адрес е достатъчно стабилен, за да бъде идентичност, или име на хост би било по-лесно за поддръжка. VPN отговаря за достижимостта; той не отговаря на това.

Подредете идентичността и доверието правилно и URL на базата на IP е законен дизайн.

Какво всъщност проверява клиентът

Клиентът сравнява референтната идентичност в URL с алтернативните имена на субекта в сертификата. За IP адрес това означава запис iPAddress, равен на адреса. Приятелското общо име не е заместител.

RFC 9525 разделя идентичностите на IP адреси от DNS имената и дефинира правилото за съвпадение. Ако адресът е само в етикета на субекта или като запис от тип DNS, не се получава съвпадение. Затова SAN е полето, което да се прегледа, когато се появи предупреждение.

Доверието е втора, независима проверка. Съвпадението на име не поправя недоверена верига, изтекъл сертификат или сертификат, издаден за друга цел.

Решение първо: достатъчно стабилен ли е адресът, за да бъде идентичност

Ако адресът е фиксиран за целия живот на внедряването, IP SAN сертификатът е прост и честен. Ако услугата може да се мести, всяко местене става подмяна на сертификат и координирано обновяване на клиентите.

Стабилното име на хост намалява тази връзка. Клиентите използват името, одобреният DNS го съпоставя с текущия адрес и смяната на адреса престава да бъде смяна на идентичност. Сертификатът все още трябва да се подновява, но URL не се променя.

Управляван запис във файла hosts може да осигури съпоставянето в малка среда. Той добавя отговорност за разпространение; не заменя TLS проверката.

Решение второ: как клиентът ще се доверява на издателя

За частен CA разпространявайте котвата на доверие до предвидените устройства чрез одобрен механизъм. Не приучавайте потребителите да преминават през предупреждения или да инсталират сертификат, даден им от страница за вход. Ако искате публично доверен сертификат, проверете текущите правила на издателя за частни адреси, преди да планирате около тях. Повечето публични издатели няма да валидират частен IP като публична идентичност.

Прегледайте действителния браузър или приложение. Неговото хранилище за доверие и поведение при валидиране са по-важни от общата документация за сертификати на операционната система. Проверете го на действителното устройство, не само в конзолата.

VPN шлюзът може да не е машината, която изпълнява уеб приложението, така че не предполагайте, че сертификатът на тунела има нещо общо с този.

Планирайте смяната на адреса преди да се случи

Ако 10.60.0.25 стане 10.60.0.40, старият сертификат вече не описва URL. Планирайте подмяната и обновяването на клиента заедно и никога не изключвайте проверката по време на преместването.

Изберете идентичността, която потребителите ще въвеждат или приложенията ще конфигурират, след което подравнете около нея издаването, доверието, внедряването и подновяването. Достъпна страница с отхвърлено предупреждение не е същият резултат като услуга, чиято идентичност клиентът проверява.