Un certificado para un sitio solo por VPN: ¿DNS-01 o CA privada?

Tres condiciones deciden cómo debe obtener su certificado un sitio web solo por VPN: si controla una zona DNS pública, si el nombre de host puede aparecer en registros públicos y si se puede dar a cada cliente un ancla de confianza privada. La ruta pública y la privada producen ambas un candado que funciona y responden a preguntas distintas. Elegir una sin resolver esas condiciones es como un sitio acaba con un certificado público que no quería, o con uno interno que la mitad de los clientes rechazan.

El certificado demuestra el nombre; la VPN y el DNS interno proporcionan el camino.

Dos rutas hacia un nombre de confianza

Un emisor público con validación DNS-01 demuestra el control de un nombre mediante un registro TXT en una zona que usted controla, así que el servicio web nunca tiene que aceptar una conexión HTTP pública. Una CA privada emite certificados hoja para nombres internos y distribuye su ancla de confianza mediante la gestión de dispositivos, de modo que ningún registro público llega a conocer el nombre. Ambas son legítimas, y la elección se deriva de esas tres condiciones y no de la comodidad. Ninguna de las dos rutas aporta la ruta ni la entrada de resolución que necesita un cliente.

Un certificado público también publica el nombre de host en los registros de transparencia de certificados. Si el nombre en sí es sensible, esa divulgación es una decisión de diseño y no un efecto secundario que se descubra después.

DNS-01 sin exponer el servicio

El registro de desafío es una entrada TXT bajo un prefijo reservado en la zona, y el emisor lo lee del DNS autoritativo. Elija un cliente ACME y una integración DNS que puedan crear y eliminar ese registro, y autorice la actualización de forma estrecha: una credencial API de alcance limitado para la zona, o un host controlado que se use solo para la validación. Dar al servidor de aplicaciones una credencial de registrador sin restricciones para renovar un solo certificado es mucha más autoridad de la que la tarea necesita. Cuando varios pedidos comparten un nombre, mantenga sus valores TXT separados para que limpiar uno no elimine un valor que otro aún necesita.

Espere la propagación con una comprobación contra los servidores autoritativos en lugar de una espera fija. El comportamiento de propagación depende del proveedor, y una espera que funciona hoy no es prueba sobre mañana.

Clientes gestionados y nombres deliberadamente privados

Los dispositivos gestionados y los nombres deliberadamente privados encajan bien con una CA interna. Distribuya el emisor de confianza mediante la gestión de dispositivos y luego emita certificados hoja para los nombres previstos. Compruebe qué almacén usa realmente cada cliente, porque una única importación en el sistema operativo no es una afirmación universal sobre todos los navegadores y aplicaciones. El anclaje de la hoja es otra opción donde se admite explícitamente, a costa de otra actualización de confianza cada vez que cambia la hoja.

El canal de distribución importa tanto como la clave: una raíz que nadie instala no protege nada.

La renovación forma parte del diseño

Elija la ruta que elija, la renovación necesita un responsable y un procedimiento. Renovar la prueba de validación, instalar el material nuevo y recargar el oyente mediante su mecanismo admitido son tres pasos separados, y solo el primero lo automatizan la mayoría de los clientes ACME. Un certificado que se renueva correctamente pero nunca se carga produce la misma interrupción que uno que ha caducado.

El certificado no instala la ruta VPN ni crea el registro DNS interno. Los clientes siguen necesitando un resolutor que asocie el nombre a la dirección privada y una ruta para llegar a ella. Pruebe el sitio por su nombre desde un cliente que tenga ambos.

Anote el emisor, el método de validación, el canal de distribución de confianza y el mecanismo de recarga. Esos cuatro son el plan de renovación.