Tystysgrif ar gyfer safle trwy VPN yn unig: DNS-01 neu CA breifat?

Mae tri amod yn penderfynu sut y dylai safle sy’n hygyrch trwy VPN yn unig gael ei dystysgrif: a ydych yn rheoli parth DNS cyhoeddus, a gaiff yr enw gwesteiwr ymddangos mewn cofnodion cyhoeddus, ac a ellir rhoi angor ymddiriedolaeth breifat i bob cleient. Mae’r llwybr cyhoeddus a’r llwybr preifat ill dau yn cynhyrchu clo digidol sy’n gweithio ac maent yn ateb cwestiynau gwahanol. Dewis un heb setlo’r amodau hynny yw’r ffordd y mae safle’n gorffen gyda thystysgrif gyhoeddus nad oedd ei heisiau, neu un fewnol y mae hanner y cleientiaid yn ei gwrthod.

Mae’r dystysgrif yn profi’r enw; mae’r VPN a’r DNS mewnol yn darparu’r llwybr.

Dwy lwybr i enw dibynadwy

Mae dyroddwr cyhoeddus gyda dilysu DNS-01 yn profi rheolaeth o enw trwy gofnod TXT mewn parth a reolir gennych, felly nid oes rhaid i’r gwasanaeth gwe dderbyn cysylltiad HTTP cyhoeddus byth. Mae CA breifat yn dyroddi tystysgrifau deilen ar gyfer enwau mewnol ac yn dosbarthu ei hangor ymddiriedolaeth trwy reoli dyfeisiau, felly nid oes cofnod cyhoeddus yn dysgu’r enw. Mae’r ddau yn ddilys, ac mae’r dewis yn dilyn o’r tri amod hynny yn hytrach nag o gyfleustra. Nid yw’r naill lwybr na’r llall yn darparu’r llwybr na’r cofnod datryswr sydd ei angen ar gleient.

Mae tystysgrif gyhoeddus hefyd yn cyhoeddi’r enw gwesteiwr mewn cofnodion tryloywder tystysgrifau. Os yw’r enw ei hun yn sensitif, penderfyniad dylunio yw’r datgeliad hwnnw yn hytrach nag sgil-effaith i’w darganfod yn ddiweddarach.

DNS-01 heb amlygu’r gwasanaeth

Cofnod her yw tant TXT o dan ragddodiad neilltuedig yn y parth, ac mae’r dyroddwr yn ei ddarllen o DNS awdurdodol. Dewiswch gleient ACME ac integreiddiad DNS sy’n gallu creu a dileu’r cofnod hwnnw, ac awdurdodwch y diweddariad yn gul: credensial API â chwmpas ar gyfer y parth, neu westeiwr a reolir a ddefnyddir ar gyfer dilysu yn unig. Mae rhoi credensial cofrestrydd heb gyfyngiad i weinydd y cymhwysiad er mwyn adnewyddu un dystysgrif yn llawer mwy o awdurdod nag sydd ei angen. Pan fydd sawl archeb yn rhannu enw, cadwch eu gwerthoedd TXT ar wahân fel nad yw clirio un yn tynnu gwerth y mae un arall yn dal i’w angen.

Arhoswch am ledaeniad gyda gwiriad yn erbyn y gweinyddwyr awdurdodol yn hytrach nag aros sefydlog. Mae ymddygiad lledaeniad yn dibynnu ar y darparwr, ac nid yw aros sy’n gweithio heddiw yn dystiolaeth am yfory.

Cleientiaid wedi’u rheoli ac enwau sydd yn fwriadol breifat

Mae dyfeisiau wedi’u rheoli ac enwau sydd yn fwriadol breifat yn gweddu’n dda i CA fewnol. Dosbarthwch y dyroddwr dibynadwy trwy reoli dyfeisiau, yna dyroddwch dystysgrifau deilen ar gyfer yr enwau a fwriadwyd. Gwiriwch pa storfa y mae pob cleient yn ei defnyddio mewn gwirionedd, oherwydd nid yw un mewnforiad yn y system weithredu yn honiad cyffredinol am bob porwr a chymhwysiad. Mae pinio’r ddeilen yn opsiwn arall lle caiff ei gefnogi’n benodol, ar gost diweddariad ymddiriedolaeth arall pryd bynnag y bydd y ddeilen yn newid.

Mae’r sianel ddosbarthu yr un mor bwysig â’r allwedd: nid yw gwraidd nad oes neb yn ei osod yn amddiffyn dim.

Mae adnewyddu yn rhan o’r dyluniad

Pa lwybr bynnag a ddewiswch, mae angen perchennog a gweithdrefn ar adnewyddu. Mae adnewyddu’r prawf dilysu, gosod y deunydd newydd ac ail-lwytho’r gwrandawr trwy ei fecanwaith a gefnogir yn dri cham ar wahân, a dim ond y cyntaf sy’n cael ei awtomeiddio gan y rhan fwyaf o gleientiaid ACME. Mae tystysgrif sy’n adnewyddu’n gywir ond na chaiff byth ei llwytho yn cynhyrchu’r un methiant â honno sydd wedi dod i ben.

Nid yw’r dystysgrif yn gosod y llwybr VPN nac yn creu’r cofnod DNS mewnol. Mae cleientiaid yn dal i fod angen datryswr sy’n mapio’r enw i’r cyfeiriad preifat a llwybr i gyrraedd yno. Profwch y safle wrth ei enw o gleient sydd â’r ddau.

Cofnodwch y dyroddwr, y dull dilysu, y sianel ddosbarthu ymddiriedolaeth a’r mecanwaith ail-lwytho. Y pedwar hynny yw’r cynllun adnewyddu.