Sertifikaat ainult VPN-i kaudu kättesaadavale saidile: DNS-01 või privaatne CA?

Sertifikaadi hankimise viisi ainult VPN-i kaudu kättesaadava saidi jaoks otsustavad kolm tingimust: kas te haldate avalikku DNS-tsooni, kas hostinimi tohib avalikesse logidesse ilmuda ja kas igale kliendile saab anda privaatse usaldusankru. Nii avalik kui privaatne tee annavad töötava luku ja nad vastavad erinevatele küsimustele. Ühe valimine ilma nende tingimuste selgitamiseta on viis, kuidas sait jõuab avaliku sertifikaadini, mida ta ei tahtnud, või sisemiseni, mille pooled kliendid tagasi lükkavad.

Sertifikaat tõestab nime; VPN ja sisemine DNS annavad tee.

Kaks teed usaldusväärse nimeni

Avalik väljaandja koos DNS-01 valideerimisega tõestab nime üle kontrolli TXT-kirje kaudu tsoonis, mida te haldadate, nii et veebiteenus ei pea kunagi vastu võtma avalikku HTTP-ühendust. Privaatne CA väljastab sisemiste nimede jaoks lehtsertifikaate ja jagab oma usaldusankrut seadmehalduse kaudu, nii et ükski avalik logi nime ei õpi. Mõlemad on õiguspärased ja valik tuleneb neist kolmest tingimusest, mitte mugavusest. Kumbki tee ei anna marsruuti ega resolveri kirjet, mida klient vajab.

Avalik sertifikaat avaldab hostinime ka sertifikaatide läbipaistvuse logides. Kui nimi ise on tundlik, on see avalikustamine disainiotsus, mitte hiljem avastatav kõrvalmõju.

DNS-01 ilma teenust paljastamata

Väljakutse kirje on TXT-kirje reserveeritud eesliite all tsoonis ja väljaandja loeb seda autoriteetsest DNS-ist. Valige ACME klient ja DNS-integratsioon, mis suudavad selle kirje luua ja eemaldada, ning andke uuendusele kitsas volitus: tsooni jaoks piiratud API mandaat või kontrollitud host, mida kasutatakse ainult valideerimiseks. Rakendusserverile piiramatu registripidaja mandaadi andmine ühe sertifikaadi uuendamiseks on palju suurem volitus, kui ülesanne nõuab. Kui mitu tellimust jagavad nime, hoidke nende TXT-väärtused eraldi, et ühe puhastamine ei eemaldaks väärtust, mida teine veel vajab.

Oodake levikut autoriteetsete serverite vastu kontrollimisega, mitte fikseeritud pausiga. Levimiskäitumine sõltub teenusepakkujast ja täna toimiv paus ei ole tõend homse kohta.

Hallatud kliendid ja teadlikult privaatsed nimed

Hallatud seadmed ja teadlikult privaatsed nimed sobivad sisemise CA-ga hästi. Jagage usaldusväärset väljaandjat seadmehalduse kaudu ja väljastage siis kavandatud nimedele lehtsertifikaadid. Kontrollige, millist hoidlat iga klient tegelikult kasutab, sest üks import operatsioonisüsteemis ei ole universaalne väide iga brauseri ja rakenduse kohta. Lehe kinnitamine on veel üks valik seal, kus seda selgesõnaliselt toetatakse, teise usalduse uuenduse hinnaga iga kord, kui leht muutub.

Jagamiskanal loeb sama palju kui võti: juur, mida keegi ei paigalda, ei kaitse midagi.

Uuendamine on disaini osa

Ükskõik millise tee valite, uuendamine vajab omanikku ja protseduuri. Valideerimistõendi värskendamine, uue materjali paigaldamine ja kuulaja uuesti laadimine selle toetatud mehhanismi kaudu on kolm eraldi sammu ja ainult esimese automatiseerivad enamik ACME kliente. Sertifikaat, mis uueneb õigesti, kuid mida kunagi ei laadita, põhjustab sama katkestuse kui aegunud sertifikaat.

Sertifikaat ei paigalda VPN-marsruuti ega loo sisemist DNS-kirjet. Klientidel on endiselt vaja resolverit, mis vastendab nime privaatse aadressiga, ja marsruuti sinna jõudmiseks. Testige saiti nime järgi kliendist, kellel on mõlemad.

Kirjutage üles väljaandja, valideerimismeetod, usalduse jagamise kanal ja uuestilaadimise mehhanism. Need neli on uuenduskava.