HTTPS i IP breifat: hunaniaeth tystysgrif neu enw gwesteiwr?

Gall eich gwasanaeth yn https://10.60.0.25 gael TLS dilysedig hyd yn oed heb enw DNS. Y cyfeiriad yw'r hunaniaeth y mae'n rhaid i'r cleient ei dilysu, ac mae'n rhaid i'r dystysgrif ei ddisgrifio'n union. Y penderfyniad yw a yw'r cyfeiriad hwnnw'n ddigon sefydlog i fod yn hunaniaeth, neu a fyddai enw gwesteiwr yn haws i'w gynnal. Mae'r VPN yn ateb cyrhaeddiad; nid yw'n ateb hyn.

Gwnewch y hunaniaeth a'r ymddiriedaeth yn iawn, ac mae URL sy'n seiliedig ar IP yn ddyluniad cyfreithlon.

Yr hyn y mae'r cleient yn ei ddilysu mewn gwirionedd

Mae'r cleient yn cymharu'r hunaniaeth gyfeirio yn yr URL ag enwau pwnc amgen y dystysgrif. Ar gyfer cyfeiriad IP, mae hynny'n golygu cofnod iPAddress sy'n hafal i'r cyfeiriad. Nid yw enw cyffredin cyfeillgar yn cymryd ei le.

RFC 9525 yn gwahanu hunaniaethau cyfeiriad IP oddi wrth enwau DNS ac yn diffinio'r rheol paru. Nid yw rhoi'r cyfeiriad yn label y pwnc yn unig, neu fel cofnod o fath DNS, yn cynhyrchu cydweddiad. Dyna pam mai'r SAN yw'r maes i'w archwilio pan fydd rhybudd yn ymddangos.

Mae ymddiriedaeth yn ail wiriad annibynnol. Nid yw cydweddiad enw yn trwsio cadwyn anniogel, tystysgrif sydd wedi dod i ben nac un a roddwyd at ddiben arall.

Penderfyniad un: a yw'r cyfeiriad yn ddigon sefydlog i fod yn hunaniaeth

Os yw'r cyfeiriad yn sefydlog am oes y defnydd, mae tystysgrif SAN IP yn syml ac yn onest. Os gall y gwasanaeth symud, mae pob symudiad yn dod yn gyfnewid tystysgrif ac yn ddiweddariad cleient cydlynol.

Mae enw gwesteiwr sefydlog yn lleihau'r cyplysiad hwnnw. Mae cleientiaid yn defnyddio'r enw, mae DNS a gymeradwywyd yn ei fapio i'r cyfeiriad presennol, ac mae newid cyfeiriad yn peidio â bod yn newid hunaniaeth. Mae'r dystysgrif yn dal i fod angen adnewyddu, ond nid yw'r URL yn newid.

Gall cofnod ffeil hosts a reolir ddarparu'r mapio mewn amgylchedd bach. Mae'n ychwanegu cyfrifoldeb dosbarthu; nid yw'n disodli dilysu TLS.

Penderfyniad dau: sut y bydd y cleient yn ymddiried yn y crëwr

Ar gyfer CA preifat, dosbarthwch yr angor ymddiriedaeth i'r dyfeisiau bwriadedig trwy fecanwaith cymeradwy. Peidiwch â hyfforddi defnyddwyr i glicio trwy rybuddion nac i osod tystysgrif a roddir iddynt gan dudalen mewngofnodi. Os ydych am dystysgrif ymddiriedol yn gyhoeddus, gwiriwch reolau presennol y crëwr ar gyfer cyfeiriadau preifat cyn cynllunio o'i chwmpas. Ni fydd y rhan fwyaf o grëwyr cyhoeddus yn dilysu IP preifat fel hunaniaeth gyhoeddus.

Adolygwch y porwr neu'r rhaglen wirioneddol. Mae ei storfa ymddiriedaeth a'i ymddygiad dilysu'n bwysicach na dogfennaeth dystysgrifau gyffredinol y system weithredu. Gwiriwch ef ar y ddyfais wirioneddol, nid yn y consol yn unig.

Efallai nad y porth VPN yw'r peiriant sy'n rhedeg y rhaglen we, felly peidiwch â chymryd bod gan dystysgrif y twnnel unrhyw beth i'w wneud â hon.

Cynlluniwch y newid cyfeiriad cyn iddo ddigwydd

Os daw 10.60.0.25 yn 10.60.0.40, nid yw'r hen dystysgrif yn disgrifio'r URL mwyach. Cynlluniwch y gyfnewid a'r diweddariad cleient gyda'i gilydd, a pheidiwch byth â diffodd dilysu yn ystod y symudiad.

Dewiswch yr hunaniaeth y bydd defnyddwyr yn ei theipio neu y bydd rhaglenni'n ei chyflunio, yna aliniwch gyhoeddi, ymddiriedaeth, defnyddio ac adnewyddu o'i chwmpas. Nid yw tudalen gyrraeddadwy gyda rhybudd wedi'i ddiystyru yr un canlyniad â gwasanaeth y mae'r cleient yn dilysu ei hunaniaeth.