HTTPS a una IP privada: identitat del certificat o nom d'amfitrió?

El vostre servei a https://10.60.0.25 pot tenir TLS autenticat fins i tot sense un nom DNS. L'adreça és la identitat que el client ha de validar, i el certificat l'ha de descriure exactament. La decisió és si aquesta adreça és prou estable per ser una identitat, o si un nom d'amfitrió seria més fàcil de mantenir. La VPN respon a l'abast; no respon a això.

Encerta la identitat i la confiança, i una URL basada en IP és un disseny legítim.

Què valida realment el client

El client compara la identitat de referència de l'URL amb els noms alternatius del subjecte del certificat. Per a una adreça IP, això significa una entrada iPAddress igual a l'adreça. Un nom comú amigable no és cap substitut.

RFC 9525 separa les identitats d'adreça IP dels noms DNS i defineix la regla de coincidència. Posar l'adreça només a l'etiqueta del subjecte, o com a entrada de tipus DNS, no produeix cap coincidència. Per això el SAN és el camp que cal inspeccionar quan apareix un avís.

La confiança és una segona comprovació independent. Una coincidència de nom no arregla una cadena no confiable, un certificat caducat o un certificat emès per a una altra finalitat.

Decisió primera: l'adreça és prou estable per ser una identitat

Si l'adreça és fixa durant tota la vida del desplegament, un certificat SAN d'IP és simple i honest. Si el servei es pot moure, cada moviment es converteix en una substitució del certificat i una actualització coordinada dels clients.

Un nom d'amfitrió estable redueix aquest acoblament. Els clients fan servir el nom, el DNS aprovat el mapifica a l'adreça actual, i un canvi d'adreça deixa de ser un canvi d'identitat. El certificat encara necessita renovació, però l'URL no canvia.

Una entrada gestionada al fitxer hosts pot proporcionar el mapatge en un entorn petit. Afegeix una responsabilitat de distribució; no substitueix la verificació TLS.

Decisió segona: com confiarà el client en l'emissor

Per a una CA privada, distribuïu l'àncora de confiança als dispositius previstos mitjançant un mecanisme aprovat. No ensenyeu els usuaris a passar pels avisos ni a instal·lar un certificat que els lliuri una pàgina d'inici de sessió. Si voleu un certificat de confiança pública, reviseu les regles actuals de l'emissor per a adreces privades abans de planificar-lo. La majoria d'emissors públics no validaran una IP privada com a identitat pública.

Reviseu el navegador o l'aplicació real. El seu magatzem de confiança i el seu comportament de validació importen més que la documentació general de certificats del sistema operatiu. Comproveu-ho al dispositiu real, no només a la consola.

La passarel·la VPN pot no ser la màquina que executa l'aplicació web, així que no assumiu que el certificat del túnel hi tingui res a veure.

Planifiqueu el canvi d'adreça abans que passi

Si 10.60.0.25 es converteix en 10.60.0.40, el certificat antic ja no descriu l'URL. Planifiqueu la substitució i l'actualització del client alhora, i no desactiveu mai la verificació durant el trasllat.

Trieu la identitat que els usuaris escriuran o que les aplicacions configuraran, i alineeu-hi l'emissió, la confiança, el desplegament i la renovació. Una pàgina accessible amb un avís descartat no és el mateix resultat que un servei la identitat del qual el client verifica.