HTTPS al privata IP: identeco de atestilo aŭ nomo de gastiganto?
Privata IP povas esti valida TLS-identeco se la atestilo tion diras. Elektu inter IP-SAN kaj stabila nomo de gastiganto, poste planu la adresŝanĝon.
Via servo ĉe https://10.60.0.25 povas havi aŭtentikigitan TLS eĉ sen DNS-nomo. La adreso estas la identeco, kiun la kliento devas validigi, kaj la atestilo devas priskribi ĝin precize. La decido estas, ĉu tiu adreso estas sufiĉe stabila por esti identeco, aŭ ĉu nomo de gastiganto estus pli facile prizorgata. La VPN respondas al atingeblo; ĝi ne respondas tion.
Ordigi la identecon kaj la fidon ĝuste, kaj per-IP URL estas laŭleĝa dizajno.
Kion la kliento efektive validigas
La kliento komparas la referencan identecon en la URL kun la alternativaj subjektaj nomoj de la atestilo. Por IP-adreso tio signifas enskribon iPAddress egala al la adreso. Amika komuna nomo ne anstataŭas tion.
RFC 9525 apartigas IP-adresajn identecojn disde DNS-nomoj kaj difinas la kongruan regulon. Se la adreso aperas nur en la subjekta etikedo aŭ kiel enskribo de tipo DNS, kongruo ne okazas. Tial la SAN estas la kampo kontrolenda kiam aperas averto.
Fido estas dua, sendependa kontrolo. Noma kongruo ne riparas nefidatan ĉenon, eksvalidiĝintan atestilon aŭ atestilon eldonitan por alia celo.
Decido unu: ĉu la adreso estas sufiĉe stabila por esti identeco
Se la adreso estas fiksa dum la tuta vivo de la deplojo, IP-SAN-atestilo estas simpla kaj honesta. Se la servo povas translokiĝi, ĉiu translokiĝo fariĝas anstataŭigo de atestilo kaj kunordigita ĝisdatigo de klientoj.
Stabila nomo de gastiganto malpliigas tiun kuplon. Klientoj uzas la nomon, aprobita DNS-mapado ligas ĝin al la nuna adreso, kaj adresŝanĝo ĉesas esti identecŝanĝo. La atestilo ankoraŭ bezonas renovigon, sed la URL ne ŝanĝiĝas.
Administrata enskribo en la dosiero hosts povas provizi la mapadon en malgranda medio. Ĝi aldonas disvastigan respondecon; ĝi ne anstataŭas TLS-kontrolon.
Decido du: kiel la kliento fidos la eldonanton
Por privata CA, disdonu la fidankron al la celitaj aparatoj per aprobita mekanismo. Ne trejnu uzantojn klaki tra avertoj aŭ instali atestilon donitan de ensaluta paĝo. Se vi volas publike fidata atestilon, kontrolu la nunajn regulojn de la eldonanto por privataj adresoj antaŭ ol plani ĉirkaŭ ĝi. Plej multaj publikaj eldonantoj ne validigos privatan IP kiel publikan identecon.
Rigardu la realan retumilon aŭ aplikaĵon. Ĝia fida konservejo kaj validiga konduto pli gravas ol la ĝenerala atestila dokumentaro de la operaciumo. Kontrolu ĝin sur la reala aparato, ne nur en la konzolo.
La VPN-pordego eble ne estas la maŝino, kiu rulas la retan aplikaĵon, do ne supozu, ke la atestilo de la tunelo rilatas al ĉi tiu.
Planu la adresŝanĝon antaŭ ol ĝi okazos
Se 10.60.0.25 fariĝas 10.60.0.40, la malnova atestilo ne plu priskribas la URL. Planu la anstataŭigon kaj la klientan ĝisdatigon kune, kaj neniam malŝaltu kontrolon dum la translokiĝo.
Elektu la identecon, kiun uzantoj tajpos aŭ aplikaĵoj agordos, poste vicigu eldonadon, fidon, deplojon kaj renovigon ĉirkaŭ ĝi. Atingebla paĝo kun forigita averto ne estas la sama rezulto kiel servo, kies identecon la kliento kontrolas.