Πιστοποιητικό για ιστότοπο μόνο μέσω VPN: DNS-01 ή ιδιωτική CA;

Τρεις προϋποθέσεις καθορίζουν πώς ένας ιστότοπος μόνο μέσω VPN πρέπει να αποκτήσει το πιστοποιητικό του: αν ελέγχετε μια δημόσια ζώνη DNS, αν το όνομα κεντρικού υπολογιστή μπορεί να εμφανιστεί σε δημόσια αρχεία καταγραφής και αν μπορεί να δοθεί σε κάθε πελάτη ένα ιδιωτικό σημείο εμπιστοσύνης. Η δημόσια και η ιδιωτική διαδρομή παράγουν και οι δύο ένα λουκέτο που λειτουργεί και απαντούν σε διαφορετικά ερωτήματα. Το να διαλέξετε μία χωρίς να διευθετήσετε αυτές τις προϋποθέσεις είναι ο τρόπος που ένας ιστότοπος καταλήγει με δημόσιο πιστοποιητικό που δεν ήθελε, ή με εσωτερικό που οι μισοί πελάτες απορρίπτουν.

Το πιστοποιητικό αποδεικνύει το όνομα· το VPN και το εσωτερικό DNS παρέχουν τη διαδρομή.

Δύο διαδρομές προς ένα έμπιστο όνομα

Ένας δημόσιος εκδότης με επικύρωση DNS-01 αποδεικνύει τον έλεγχο ενός ονόματος μέσω εγγραφής TXT σε ζώνη που ελέγχετε, ώστε η υπηρεσία ιστού να μην χρειάζεται ποτέ να δεχτεί δημόσια σύνδεση HTTP. Μια ιδιωτική CA εκδίδει φυλλικά πιστοποιητικά για εσωτερικά ονόματα και διανέμει το σημείο εμπιστοσύνης της μέσω διαχείρισης συσκευών, ώστε κανένα δημόσιο αρχείο να μη μαθαίνει το όνομα. Και οι δύο είναι νόμιμες και η επιλογή προκύπτει από τις τρεις αυτές προϋποθέσεις και όχι από ευκολία. Καμία από τις διαδρομές δεν παρέχει τη διαδρομή ή την εγγραφή του resolver που χρειάζεται ένας πελάτης.

Ένα δημόσιο πιστοποιητικό δημοσιεύει επίσης το όνομα κεντρικού υπολογιστή σε αρχεία διαφάνειας πιστοποιητικών. Αν το ίδιο το όνομα είναι ευαίσθητο, αυτή η αποκάλυψη είναι σχεδιαστική απόφαση και όχι παρενέργεια που θα ανακαλύψετε αργότερα.

DNS-01 χωρίς να εκτίθεται η υπηρεσία

Η εγγραφή πρόκλησης είναι καταχώριση TXT κάτω από δεσμευμένο πρόθεμα στη ζώνη και ο εκδότης τη διαβάζει από έγκυρο DNS. Επιλέξτε πελάτη ACME και ενσωμάτωση DNS που μπορούν να δημιουργήσουν και να αφαιρέσουν αυτή την εγγραφή και εξουσιοδοτήστε την ενημέρωση στενά: περιορισμένα διαπιστευτήρια API για τη ζώνη ή ελεγχόμενος κεντρικός υπολογιστής που χρησιμοποιείται μόνο για επικύρωση. Το να δώσετε στον διακομιστή εφαρμογών απεριόριστα διαπιστευτήρια καταχωριστή για να ανανεώσετε ένα πιστοποιητικό είναι πολύ περισσότερη εξουσία από όση απαιτεί η εργασία. Όταν πολλές παραγγελίες μοιράζονται ένα όνομα, κρατήστε τις τιμές TXT τους ξεχωριστές ώστε ο καθαρισμός της μίας να μην αφαιρέσει τιμή που χρειάζεται ακόμη μια άλλη.

Περιμένετε τη διάδοση με έλεγχο στους έγκυρους διακομιστές αντί για σταθερή αναμονή. Η συμπεριφορά διάδοσης εξαρτάται από τον πάροχο και μια αναμονή που λειτουργεί σήμερα δεν είναι απόδειξη για αύριο.

Διαχειριζόμενοι πελάτες και σκόπιμα ιδιωτικά ονόματα

Οι διαχειριζόμενες συσκευές και τα σκόπιμα ιδιωτικά ονόματα ταιριάζουν καλά σε μια εσωτερική CA. Διανείμετε τον έμπιστο εκδότη μέσω διαχείρισης συσκευών και έπειτα εκδώστε φυλλικά πιστοποιητικά για τα προβλεπόμενα ονόματα. Ελέγξτε ποιο χώρο αποθήκευσης χρησιμοποιεί πράγματι κάθε πελάτης, γιατί μία εισαγωγή στο λειτουργικό σύστημα δεν είναι καθολικός ισχυρισμός για κάθε πρόγραμμα περιήγησης και εφαρμογή. Η καρφίτσωση φύλλου είναι άλλη μια επιλογή όπου υποστηρίζεται ρητά, με κόστος άλλη μια ενημέρωση εμπιστοσύνης κάθε φορά που αλλάζει το φύλλο.

Το κανάλι διανομής μετράει όσο και το κλειδί: μια ρίζα που κανείς δεν εγκαθιστά δεν προστατεύει τίποτα.

Η ανανέωση είναι μέρος του σχεδιασμού

Όποια διαδρομή κι αν επιλέξετε, η ανανέωση χρειάζεται ιδιοκτήτη και διαδικασία. Η ανανέωση της απόδειξης επικύρωσης, η εγκατάσταση του νέου υλικού και η επαναφόρτωση του ακροατή μέσω του υποστηριζόμενου μηχανισμού του είναι τρία ξεχωριστά βήματα και μόνο το πρώτο αυτοματοποιείται από τους περισσότερους πελάτες ACME. Ένα πιστοποιητικό που ανανεώνεται σωστά αλλά δεν φορτώνεται ποτέ προκαλεί την ίδια διακοπή με ένα που έληξε.

Το πιστοποιητικό δεν εγκαθιστά τη διαδρομή VPN ούτε δημιουργεί την εσωτερική εγγραφή DNS. Οι πελάτες χρειάζονται ακόμη έναν resolver που αντιστοιχίζει το όνομα στην ιδιωτική διεύθυνση και μια διαδρομή για να φτάσουν εκεί. Δοκιμάστε τον ιστότοπο με το όνομα από έναν πελάτη που έχει και τα δύο.

Καταγράψτε τον εκδότη, τη μέθοδο επικύρωσης, το κανάλι διανομής εμπιστοσύνης και τον μηχανισμό επαναφόρτωσης. Αυτά τα τέσσερα είναι το σχέδιο ανανέωσης.