Atestilo por retejo nur per VPN: DNS-01 aŭ privata CA?
Retejo atingebla nur per VPN povas havi fidata publikan atestilon per DNS-01, aŭ internan de privata CA. La elekto dependas de la nomo kaj de la klientoj.
Tri kondiĉoj decidas, kiel retejo atingebla nur per VPN devus akiri sian atestilon: ĉu vi regas publikan DNS-zonon, ĉu la gastiga nomo rajtas aperi en publikaj protokoloj, kaj ĉu al ĉiu kliento eblas doni privatan fido-ankron. La publika kaj la privata vojoj ambaŭ produktas funkciantan seruron kaj ili respondas al malsamaj demandoj. Elekti unu sen solvi tiujn kondiĉojn estas la maniero, kiel retejo finiĝas kun publika atestilo, kiun ĝi ne volis, aŭ kun interna, kiun duono de la klientoj rifuzas.
La atestilo pruvas la nomon; la VPN kaj la interna DNS provizas la vojon.
Du vojoj al fidata nomo
Publika eldonanto kun DNS-01-validaĵo pruvas regadon de nomo per TXT-rikordo en zono, kiun vi regas, do la reta servo neniam devas akcepti publikan HTTP-konekton. Privata CA eldonas foliajn atestilojn por internaj nomoj kaj disdonas sian fido-ankron per aparata administrado, do neniu publika protokolo ekscias la nomon. Ambaŭ estas legitimaj, kaj la elekto sekvas el tiuj tri kondiĉoj, ne el oportuneco. Neniu el la vojoj provizas la itineron aŭ la resolvan rikordon, kiun kliento bezonas.
Publika atestilo ankaŭ publikigas la gastigan nomon en atestila-travideblaj protokoloj. Se la nomo mem estas sentema, tiu malkaŝo estas dezajna decido, ne kromefiko malkovrota poste.
DNS-01 sen elmeti la servon
La defia rikordo estas TXT-enskribo sub rezervita antaŭsigno en la zono, kaj la eldonanto legas ĝin el aŭtoritata DNS. Elektu ACME-klienton kaj DNS-integraĵon, kiuj povas krei kaj forigi tiun rikordon, kaj rajtigu la ĝisdatigon mallarĝe: limigita API-kreditaĵo por la zono, aŭ regata gastiganto uzata nur por validado. Doni al la aplikaĵservilo nelimigitan registran kreditaĵon por renovigi unu atestilon estas multe pli da aŭtoritato ol la tasko bezonas. Kiam pluraj mendoj dividas nomon, tenu iliajn TXT-valorojn apartaj, por ke purigado de unu ne forigu valoron, kiun alia ankoraŭ bezonas.
Atendu disvastiĝon kun kontrolo kontraŭ la aŭtoritataj serviloj anstataŭ fiksa paŭzo. Disvastiĝa konduto dependas de la provizanto, kaj paŭzo, kiu funkcias hodiaŭ, ne estas pruvo pri morgaŭ.
Administrataj klientoj kaj intence privataj nomoj
Administrataj aparatoj kaj intence privataj nomoj bone taŭgas al interna CA. Disdonu la fidata eldonanton per aparata administrado, poste eldonu foliajn atestilojn por la celataj nomoj. Kontrolu, kiun konservejon ĉiu kliento efektive uzas, ĉar unu importo en la operaciumo ne estas universala aserto pri ĉiu retumilo kaj aplikaĵo. Folia fiksado estas alia opcio, kie ĝi estas eksplicite subtenata, je la kosto de ankoraŭ unu fido-ĝisdatigo ĉiufoje, kiam la folio ŝanĝiĝas.
La disdona kanalo gravas same kiel la ŝlosilo: radiko, kiun neniu instalas, protektas nenion.
Renovigo estas parto de la dezajno
Kiun ajn vojon vi elektas, renovigo bezonas posedanton kaj proceduron. Refreŝigi la validadan pruvon, instali la novan materialon kaj reŝargi la aŭskultanton per sia subtenata mekanismo estas tri apartaj paŝoj, kaj nur la unuan aŭtomatigas la plej multaj ACME-klientoj. Atestilo, kiu renoviĝas ĝuste sed neniam ŝargiĝas, kaŭzas la saman interrompon kiel eksdata.
La atestilo ne instalas la VPN-itineron nek kreas la internan DNS-rikordon. Klientoj ankoraŭ bezonas resolvon, kiu mapas la nomon al la privata adreso, kaj itineron por atingi ĝin. Testu la retejon laŭnome de kliento, kiu havas ambaŭ.
Notu la eldonanton, la validadan metodon, la fido-disdonan kanalon kaj la reŝargan mekanismon. Tiuj kvar estas la renoviga plano.