HTTPS na privatnu IP adresu: identitet certifikata ili naziv hosta?
Privatna IP adresa može biti valjan TLS identitet ako to certifikat navodi. Odaberite između IP SAN-a i stabilnog naziva hosta, pa isplanirajte promjenu adrese.
Vaša usluga na https://10.60.0.25 može imati autentificirani TLS čak i bez DNS imena. Adresa je identitet koji klijent mora provjeriti, a certifikat je mora opisati tačno. Odluka je da li je ta adresa dovoljno stabilna da bude identitet ili bi naziv hosta bio lakši za održavanje. VPN odgovara na pitanje dostupnosti; na ovo pitanje ne odgovara.
Postavite identitet i povjerenje ispravno, i URL zasnovan na IP adresi je legitimno rješenje.
Šta klijent zapravo provjerava
Klijent upoređuje referentni identitet iz URL-a sa alternativnim imenima subjekta u certifikatu. Za IP adresu to znači unos iPAddress jednak adresi. Prijateljsko uobičajeno ime nije zamjena.
RFC 9525 razdvaja identitete IP adresa od DNS imena i definira pravilo podudaranja. Ako se adresa navede samo u oznaci subjekta ili kao unos tipa DNS, podudaranje se ne postiže. Zato je SAN polje koje treba pregledati kada se pojavi upozorenje.
Povjerenje je druga, nezavisna provjera. Podudaranje imena ne ispravlja nepovjerljiv lanac, istekao certifikat ili certifikat izdat za drugu svrhu.
Odluka prva: je li adresa dovoljno stabilna da bude identitet
Ako je adresa fiksna za cijeli životni vijek implementacije, IP SAN certifikat je jednostavan i iskren. Ako se usluga može preseliti, svako preseljenje postaje zamjena certifikata i koordinirano ažuriranje klijenata.
Stabilan naziv hosta smanjuje tu povezanost. Klijenti koriste naziv, odobreni DNS ga preslikava na trenutnu adresu, a promjena adrese prestaje biti promjena identiteta. Certifikat se još mora obnoviti, ali URL se ne mijenja.
Upravljani unos u hosts datoteci može osigurati preslikavanje u malom okruženju. On dodaje odgovornost distribucije; ne zamjenjuje TLS provjeru.
Odluka druga: kako će klijent vjerovati izdavaocu
Za privatni CA distribuirajte sidro povjerenja na predviđene uređaje kroz odobreni mehanizam. Ne učite korisnike da prolaze kroz upozorenja ili instaliraju certifikat koji im preda stranica za prijavu. Ako želite javno pouzdan certifikat, provjerite trenutna pravila izdavaoca za privatne adrese prije nego što planirate na osnovu njih. Većina javnih izdavaoca neće validirati privatnu IP adresu kao javni identitet.
Pregledajte stvarni preglednik ili aplikaciju. Njeno skladište povjerenja i ponašanje pri validaciji važniji su od opće dokumentacije operativnog sistema o certifikatima. Provjerite to na stvarnom uređaju, ne samo u konzoli.
VPN gateway možda nije mašina koja pokreće web aplikaciju, zato ne pretpostavljajte da certifikat tunela ima ikakve veze s ovim.
Isplanirajte promjenu adrese prije nego što se dogodi
Ako 10.60.0.25 postane 10.60.0.40, stari certifikat više ne opisuje URL. Isplanirajte zamjenu i ažuriranje klijenta zajedno i nikada ne isključujte provjeru tokom preseljenja.
Odaberite identitet koji će korisnici upisivati ili aplikacije konfigurirati, zatim uskladite izdavanje, povjerenje, implementaciju i obnovu oko njega. Dostupna stranica s odbačenim upozorenjem nije isti rezultat kao usluga čiji identitet klijent provjerava.