HTTPS privaatsele IP-le: sertifikaadi identiteet või hostinimi?
Privaatne IP võib olla kehtiv TLS-identiteet, kui sertifikaat seda ütleb. Valige IP SAN-i ja püsiva hostinime vahel ning seejärel planeerige aadressi muutmine.
Teie teenus aadressil https://10.60.0.25 võib olla autenditud TLS-iga ka ilma DNS-nimeta. Aadress on identiteet, mida klient peab valideerima, ja sertifikaat peab seda täpselt kirjeldama. Otsus on, kas see aadress on identiteediks piisavalt püsiv või oleks hostinime lihtsam hooldada. VPN vastab kättesaadavusele; see ei vasta sellele.
Kui identiteet ja usaldus on korras, on IP-põhine URL legitiimne lahendus.
Mida klient tegelikult valideerib
Klient võrdleb URL-is olevat võrdlusidentiteeti sertifikaadi alternatiivsete subjektinimedega. IP-aadressi puhul tähendab see aadressiga võrdset iPAddress-kirjet. Sõbralik üldnimi ei asenda seda.
RFC 9525 eristab IP-aadressi identiteedid DNS-nimedest ja määratleb sobivusreegli. Kui aadress on ainult subjekti sildis või DNS-tüüpi kirjena, siis sobivust ei teki. Seetõttu on SAN väli, mida hoiatuse ilmumisel kontrollida.
Usaldus on teine, sõltumatu kontroll. Nime sobivus ei paranda mitteusaldusväärset ahelat, aegunud sertifikaati ega muu otstarbega välja antud sertifikaati.
Otsus üks: kas aadress on identiteediks piisavalt püsiv
Kui aadress on kogu juurutuse eluea jooksul fikseeritud, on IP SAN-i sertifikaat lihtne ja aus. Kui teenus võib liikuda, muutub iga liikumine sertifikaadi asendamiseks ja koordineeritud kliendi uuendamiseks.
Püsiv hostinimi vähendab seda sidet. Kliendid kasutavad nime, kinnitatud DNS vastendab selle praeguse aadressiga ja aadressi muutumine lakkab olemast identiteedi muutumine. Sertifikaat vajab endiselt uuendamist, kuid URL ei muutu.
Hallatav hosts-faili kirje võib väikeses keskkonnas vastenduse anda. See lisab levitamise vastutuse; see ei asenda TLS-i kontrolli.
Otsus kaks: kuidas klient väljaandjat usaldab
Privaatse CA puhul levitage usaldusankur kinnitatud mehhanismi kaudu ettenähtud seadmetesse. Ärge õpetage kasutajaid hoiatusi läbi klõpsama ega installima sertifikaati, mille annab kätte sisselogimisleht. Kui soovite avalikult usaldatud sertifikaati, kontrollige väljaandja kehtivaid reegleid privaatsete aadresside kohta enne sellele planeerimist. Enamik avalikke väljaandjaid ei valideeri privaatset IP-d avaliku identiteedina.
Vaadake tegelikku brauserit või rakendust. Selle usaldussalv ja valideerimiskäitumine on tähtsamad kui operatsioonisüsteemi üldine sertifikaadidokumentatsioon. Kontrollige seda tegelikul seadmel, mitte ainult konsoolis.
VPN-i lüüs ei pruugi olla masin, mis veebirakendust käitab, seega ärge eeldage, et tunnelil on selle sertifikaadiga midagi pistmist.
Planeerige aadressi muutmine enne, kui see juhtub
Kui 10.60.0.25 muutub 10.60.0.40-ks, ei kirjelda vana sertifikaat enam URL-i. Planeerige asendamine ja kliendi uuendamine koos ning ärge kunagi lülitage liikumise ajal valideerimist välja.
Valige identiteet, mille kasutajad sisestavad või rakendused seadistavad, ning seejärel joondage selle ümber väljastamine, usaldus, juurutus ja uuendamine. Kättesaadav leht kõrvale jäetud hoiatusega ei ole sama tulemus kui teenus, mille identiteeti klient valideerib.