HTTPS na privátní IP: identita certifikátu, nebo název hostitele?
Privátní IP může být platná identita TLS, pokud to certifikát uvádí. Vyberte mezi IP SAN a stabilním názvem hostitele a poté naplánujte změnu adresy.
Vaše služba na https://10.60.0.25 může mít autentizovaný TLS i bez názvu DNS. Adresa je identita, kterou musí klient ověřit, a certifikát ji musí přesně popsat. Rozhodnutí je, zda je tato adresa dostatečně stabilní, aby byla identitou, nebo zda by bylo snazší udržovat název hostitele. VPN odpovídá na dostupnost; na tohle neodpovídá.
Nastavte identitu i důvěru správně a URL založená na IP je legitimní návrh.
Co klient skutečně ověřuje
Klient porovnává referenční identitu v URL s alternativními jmény subjektu v certifikátu. U IP adresy to znamená záznam iPAddress rovný adrese. Přátelské obecné jméno to nenahrazuje.
RFC 9525 odděluje identity IP adres od názvů DNS a definuje pravidlo shody. Pokud je adresa uvedena jen ve štítku subjektu nebo jako záznam typu DNS, shoda nevznikne. Proto je SAN pole, které je třeba zkontrolovat, když se objeví varování.
Důvěra je druhá, nezávislá kontrola. Shoda názvu neopraví nedůvěryhodný řetězec, prošlý certifikát ani certifikát vydaný pro jiný účel.
Rozhodnutí první: je adresa dostatečně stabilní, aby byla identitou
Pokud je adresa pevná po celou dobu nasazení, certifikát IP SAN je jednoduchý a poctivý. Pokud se služba může přesunout, každý přesun se stane výměnou certifikátu a koordinovanou aktualizací klientů.
Stabilní název hostitele toto propojení snižuje. Klienti používají název, schválený DNS ho mapuje na aktuální adresu a změna adresy přestává být změnou identity. Certifikát stále potřebuje obnovu, ale URL se nemění.
Spravovaný záznam v souboru hosts může mapování zajistit v malém prostředí. Přidává odpovědnost za distribuci; nenahrazuje ověření TLS.
Rozhodnutí druhé: jak bude klient důvěřovat vydavateli
U privátní CA distribuujte kořen důvěry zamýšleným zařízením schváleným mechanismem. Neučte uživatele procházet varováními nebo instalovat certifikát, který jim předá přihlašovací stránka. Pokud chcete veřejně důvěryhodný certifikát, zkontrolujte aktuální pravidla vydavatele pro privátní adresy, než s nimi budete plánovat. Většina veřejných vydavatelů privátní IP jako veřejnou identitu neověří.
Prohlédněte si skutečný prohlížeč nebo aplikaci. Její úložiště důvěry a chování při ověřování jsou důležitější než obecná dokumentace certifikátů operačního systému. Ověřte to na skutečném zařízení, nejen v konzoli.
Brána VPN nemusí být stroj, který spouští webovou aplikaci, takže nepředpokládejte, že certifikát tunelu s tím má něco společného.
Naplánujte změnu adresy dřív, než nastane
Pokud se 10.60.0.25 změní na 10.60.0.40, starý certifikát už URL nepopisuje. Naplánujte výměnu i aktualizaci klienta společně a během přesunu nikdy nevypínejte ověřování.
Vyberte identitu, kterou budou uživatelé psát nebo kterou budou aplikace konfigurovat, a kolem ní slaďte vydávání, důvěru, nasazení a obnovu. Dostupná stránka s odklikaným varováním není stejný výsledek jako služba, jejíž identitu klient ověřuje.