Certifikát pro web jen přes VPN: DNS-01, nebo vlastní CA?

O tom, jak má web dostupný jen přes VPN získat certifikát, rozhodují tři podmínky: zda ovládáte veřejnou DNS zónu, zda se název hostitele smí objevit ve veřejných záznamech a zda lze každému klientovi dodat privátní ukotvení důvěry. Veřejná i privátní cesta obě vedou k funkčnímu visacímu zámku a odpovídají na různé otázky. Vybrat si jednu, aniž by se tyto podmínky vyřešily, je způsob, jak web skončí s veřejným certifikátem, který nechtěl, nebo s interním, který polovina klientů odmítne.

Certifikát prokazuje název; VPN a interní DNS poskytují cestu.

Dvě cesty k důvěryhodnému názvu

Veřejný vydavatel s validací DNS-01 prokazuje kontrolu nad názvem pomocí záznamu TXT v zóně, kterou ovládáte, takže webová služba nikdy nemusí přijmout veřejné HTTP spojení. Vlastní CA vydává koncové certifikáty pro interní názvy a distribuuje své ukotvení důvěry přes správu zařízení, takže se název nedozví žádný veřejný záznam. Obě jsou legitimní a volba vyplývá z oněch tří podmínek, nikoli z pohodlí. Ani jedna cesta nedodá trasu ani položku v překladači, kterou klient potřebuje.

Veřejný certifikát také zveřejňuje název hostitele v záznamech transparentnosti certifikátů. Pokud je citlivý sám název, je toto zveřejnění rozhodnutí v návrhu, ne vedlejší efekt, který objevíte později.

DNS-01 bez vystavení služby

Záznam výzvy je položka TXT pod vyhrazenou předponou v zóně a vydavatel jej čte z autoritativního DNS. Vyberte klienta ACME a integraci DNS, které dokážou tento záznam vytvořit a odstranit, a aktualizaci povolte úzce: omezený API údaj pro zónu, nebo řízený hostitel používaný jen k validaci. Dát aplikačnímu serveru neomezený registrátorský údaj k obnově jediného certifikátu je mnohem větší oprávnění, než úkol potřebuje. Když několik objednávek sdílí název, udržujte jejich hodnoty TXT oddělené, aby úklid jedné neodstranil hodnotu, kterou jiná ještě potřebuje.

Na propagaci počkejte s kontrolou proti autoritativním serverům, ne s pevným spánkem. Chování propagace závisí na poskytovateli a spánek, který funguje dnes, není důkazem o zítřku.

Spravovaní klienti a záměrně privátní názvy

Spravovaná zařízení a záměrně privátní názvy se k interní CA hodí dobře. Distribuujte důvěryhodného vydavatele přes správu zařízení a potom vydávejte koncové certifikáty pro zamýšlené názvy. Ověřte, které úložiště každý klient skutečně používá, protože jeden import v operačním systému není univerzální tvrzení o každém prohlížeči a aplikaci. Přišpendlení koncového certifikátu je další možnost tam, kde je výslovně podporováno, za cenu další aktualizace důvěry při každé změně koncového certifikátu.

Distribuční kanál je stejně důležitý jako klíč: kořen, který nikdo nenainstaluje, nic nechrání.

Obnova je součástí návrhu

Ať zvolíte kteroukoli cestu, obnova potřebuje vlastníka a postup. Obnovení důkazu validace, instalace nového materiálu a opětovné načtení posluchače jeho podporovaným mechanismem jsou tři samostatné kroky a jen první většina klientů ACME automatizuje. Certifikát, který se obnovuje správně, ale nikdy se nenačte, způsobí stejný výpadek jako ten, kterému vypršela platnost.

Certifikát nenainstaluje trasu VPN ani nevytvoří interní záznam DNS. Klienti stále potřebují překladač, který název mapuje na privátní adresu, a trasu, aby se k němu dostali. Vyzkoušejte web podle názvu z klienta, který má obojí.

Zapište vydavatele, metodu validace, distribuční kanál důvěry a mechanismus opětovného načtení. Tyto čtyři věci jsou plán obnovy.