Сертификат за сайт само през VPN: DNS-01 или частен CA?

Три условия решават как един сайт, достъпен само през VPN, трябва да получи сертификата си: дали контролирате публична DNS зона, дали името на хоста може да се появи в публични журнали и дали на всеки клиент може да се даде частна котва на доверие. Публичният и частният път и двата дават работещ катинар и отговарят на различни въпроси. Изборът на един от тях, без да се решат тези условия, е начинът един сайт да се сдобие с публичен сертификат, който не е искал, или с вътрешен, който половината клиенти отхвърлят.

Сертификатът доказва името; VPN и вътрешният DNS осигуряват пътя.

Два пътя към доверено име

Публичен издател с валидиране DNS-01 доказва контрол върху име чрез TXT запис в зона, която контролирате, така че уеб услугата никога не трябва да приема публична HTTP връзка. Частен CA издава крайни сертификати за вътрешни имена и разпространява котвата си на доверие чрез управление на устройства, така че никой публичен журнал не научава името. И двата варианта са законни и изборът следва от тези три условия, а не от удобство. Нито един от пътищата не доставя маршрута или записа в резолвера, от който клиентът се нуждае.

Публичният сертификат също публикува името на хоста в журналите за прозрачност на сертификатите. Ако самото име е чувствително, това разкриване е проектно решение, а не страничен ефект, който да откриете по-късно.

DNS-01 без да излагате услугата

Записът за предизвикателство е TXT запис под резервиран префикс в зоната и издателят го чете от авторитетния DNS. Изберете ACME клиент и DNS интеграция, които могат да създават и премахват този запис, и разрешавайте актуализацията тясно: ограничени API идентификационни данни за зоната или контролиран хост, използван само за валидиране. Даването на сървъра на приложението неограничени идентификационни данни на регистратор, за да поднови един сертификат, е много повече правомощия, отколкото задачата изисква. Когато няколко поръчки споделят име, дръжте TXT стойностите им отделни, за да не премахне почистването на една стойност, от която друга все още се нуждае.

Изчакайте разпространението с проверка срещу авторитетните сървъри, а не с фиксирано изчакване. Поведението при разпространение зависи от доставчика и изчакване, което работи днес, не е доказателство за утре.

Управлявани клиенти и умишлено частни имена

Управляваните устройства и умишлено частните имена пасват добре на вътрешен CA. Разпространявайте доверения издател чрез управление на устройства, после издавайте крайни сертификати за предвидените имена. Проверете кое хранилище всъщност използва всеки клиент, защото един внос в операционната система не е универсално твърдение за всеки браузър и приложение. Заковането на крайния сертификат е друга възможност, където се поддържа изрично, с цената на още една актуализация на доверието при всяка промяна на крайния сертификат.

Каналът за разпространение е също толкова важен, колкото ключа: корен, който никой не инсталира, не защитава нищо.

Подновяването е част от дизайна

Който и път да изберете, подновяването се нуждае от собственик и процедура. Обновяването на доказателството за валидиране, инсталирането на новия материал и презареждането на слушателя чрез поддържания му механизъм са три отделни стъпки и само първата се автоматизира от повечето ACME клиенти. Сертификат, който се подновява правилно, но никога не се зарежда, дава същото прекъсване като изтекъл.

Сертификатът не инсталира VPN маршрута и не създава вътрешния DNS запис. Клиентите все още се нуждаят от резолвер, който съпоставя името с частния адрес, и от маршрут, за да го достигнат. Тествайте сайта по име от клиент, който има и двете.

Запишете издателя, метода за валидиране, канала за разпространение на доверието и механизма за презареждане. Тези четири са планът за подновяване.