Certifikat za stranicu samo preko VPN-a: DNS-01 ili privatni CA?

Tri uslova odlučuju kako stranica dostupna samo preko VPN-a treba dobiti certifikat: kontrolišete li javnu DNS zonu, smije li ime hosta pojaviti se u javnim zapisima i može li svakom klijentu biti dat privatni oslonac povjerenja. Javni i privatni put oba daju katanac koji radi i odgovaraju na različita pitanja. Odabir jednog bez rješavanja tih uslova vodi do toga da stranica dobije javni certifikat koji nije htjela, ili interni koji polovina klijenata odbija.

Certifikat dokazuje ime; VPN i interni DNS pružaju put.

Dva puta do pouzdanog imena

Javni izdavatelj s validacijom DNS-01 dokazuje kontrolu nad imenom kroz TXT zapis u zoni koju kontrolišete, pa web usluga nikada ne mora prihvatiti javnu HTTP vezu. Privatni CA izdaje završne certifikate za interna imena i distribuira svoj oslonac povjerenja kroz upravljanje uređajima, pa nijedan javni zapis ne sazna ime. Oba su legitimna, a izbor slijedi iz tih triju uslova, a ne iz udobnosti. Nijedan put ne pruža rutu ni unos u razrješivaču koji klijent treba.

Javni certifikat takođe objavljuje ime hosta u zapisima transparentnosti certifikata. Ako je samo ime osjetljivo, to otkrivanje je dizajnerska odluka, a ne nuspojava koju ćete otkriti kasnije.

DNS-01 bez izlaganja usluge

Zapis izazova je TXT unos pod rezervisanim prefiksom u zoni, a izdavatelj ga čita s autoritativnog DNS-a. Odaberite ACME klijent i DNS integraciju koji mogu stvoriti i ukloniti taj zapis i usko ovlastite ažuriranje: ograničeni API akreditiv za zonu ili kontrolirani host koji se koristi samo za validaciju. Davanje aplikacijskom serveru neograničen registrarski akreditiv za obnovu jednog certifikata daleko je više ovlasti nego što zadatak traži. Kada više narudžbi dijeli ime, držite njihove TXT vrijednosti odvojenim kako čišćenje jedne ne bi uklonilo vrijednost koja je drugoj još potrebna.

Čekajte propagaciju s provjerom prema autoritativnim serverima, a ne s fiksnim spavanjem. Ponašanje propagacije zavisi od pružatelja, a spavanje koje danas radi nije dokaz o sutra.

Upravljani klijenti i namjerno privatna imena

Upravljani uređaji i namjerno privatna imena dobro odgovaraju internom CA-u. Distribuirajte pouzdanog izdavatelja kroz upravljanje uređajima, zatim izdajte završne certifikate za predviđena imena. Provjerite koje spremište svaki klijent stvarno koristi, jer jedan uvoz u operativni sistem nije univerzalna tvrdnja o svakom pregledniku i aplikaciji. Pribijanje završnog certifikata još je jedna opcija gdje je izričito podržano, uz cijenu još jednog ažuriranja povjerenja kad god se završni certifikat promijeni.

Kanal distribucije jednako je važan kao ključ: korijen koji nitko ne instalira ne štiti ništa.

Obnova je dio dizajna

Koji god put odabrali, obnova treba vlasnika i postupak. Osvježavanje dokaza validacije, instaliranje novog materijala i ponovno učitavanje slušatelja kroz njegov podržani mehanizam tri su odvojena koraka, a samo prvi većina ACME klijenata automatizira. Certifikat koji se ispravno obnavlja ali nikada ne učita proizvodi isti prekid kao onaj koji je istekao.

Certifikat ne instalira VPN rutu niti stvara interni DNS zapis. Klijenti i dalje trebaju razrješivač koji ime preslikava na privatnu adresu i rutu da do njega dođu. Testirajte stranicu po imenu s klijenta koji ima oboje.

Zabilježite izdavatelja, metodu validacije, kanal distribucije povjerenja i mehanizam ponovnog učitavanja. Ta četiri su plan obnove.