Et certifikat til et websted kun via VPN: DNS-01 eller en privat CA?

Tre forhold afgør, hvordan et websted, der kun er tilgængeligt via VPN, skal få sit certifikat: om du kontrollerer en offentlig DNS-zone, om værtsnavnet må fremgå af offentlige logfiler, og om hver klient kan få et privat tillidsanker. Både den offentlige og den private vej giver en hængelås, der virker, og de svarer på forskellige spørgsmål. At vælge én uden at afklare de forhold er måden, hvorpå et websted ender med et offentligt certifikat, det ikke ville have, eller et internt, som halvdelen af klienterne afviser.

Certifikatet beviser navnet; VPN’et og den interne DNS leverer vejen.

To veje til et betroet navn

En offentlig udsteder med DNS-01-validering beviser kontrol over et navn gennem en TXT-post i en zone, du kontrollerer, så webtjenesten aldrig skal acceptere en offentlig HTTP-forbindelse. En privat CA udsteder bladcertifikater til interne navne og distribuerer sit tillidsanker via enhedsstyring, så ingen offentlig log får kendskab til navnet. Begge er legitime, og valget følger af de tre forhold snarere end af bekvemmelighed. Ingen af vejene leverer den rute eller den resolver-post, en klient har brug for.

Et offentligt certifikat offentliggør også værtsnavnet i certifikatgennemsigtighedslogfiler. Hvis selve navnet er følsomt, er den afsløring en designbeslutning og ikke en bivirkning, du opdager senere.

DNS-01 uden at blotlægge tjenesten

Udfordringsposten er en TXT-post under et reserveret præfiks i zonen, og udstederen læser den fra autoritativ DNS. Vælg en ACME-klient og DNS-integration, der kan oprette og fjerne den post, og giv opdateringen snæver tilladelse: en afgrænset API-legitimation til zonen eller en kontrolleret vært, der kun bruges til validering. At give applikationsserveren en ubegrænset registratorlegitimation for at forny ét certifikat er langt mere bemyndigelse, end opgaven kræver. Når flere ordrer deler et navn, hold deres TXT-værdier adskilt, så oprydning af den ene ikke fjerner en værdi, som den anden stadig har brug for.

Vent på udbredelsen med et tjek mod de autoritative servere i stedet for en fast pause. Udbredelsesadfærd afhænger af udbyderen, og en pause, der virker i dag, er ikke bevis om i morgen.

Administrerede klienter og bevidst private navne

Administrerede enheder og bevidst private navne passer godt til en intern CA. Distribuer den betroede udsteder via enhedsstyring, og udsted derefter bladcertifikater til de tilsigtede navne. Undersøg, hvilket lager hver klient faktisk bruger, for én import i operativsystemet er ikke en universel påstand om alle browsere og programmer. Bladfastgørelse er en anden mulighed, hvor det udtrykkeligt understøttes, for prisen af endnu en tillidsopdatering, hver gang bladet ændres.

Distributionskanalen betyder lige så meget som nøglen: en rod, som ingen installerer, beskytter intet.

Fornyelse er en del af designet

Uanset hvilken vej du vælger, kræver fornyelse en ejer og en procedure. At forny valideringsbeviset, installere det nye materiale og genindlæse lytteren gennem dens understøttede mekanisme er tre separate trin, og kun det første automatiseres af de fleste ACME-klienter. Et certifikat, der fornyes korrekt, men aldrig indlæses, giver samme afbrydelse som et, der er udløbet.

Certifikatet installerer ikke VPN-ruten og opretter ikke den interne DNS-post. Klienterne har stadig brug for en resolver, der mapper navnet til den private adresse, og en rute for at nå den. Test webstedet ved navn fra en klient, der har begge.

Notér udstederen, valideringsmetoden, tillidsdistributionskanalen og genindlæsningsmekanismen. De fire er fornyelsesplanen.