Bakarrik VPN bidezko gune baterako ziurtagiria: DNS-01 edo CA pribatua?

Hiru baldintzek erabakitzen dute nola lortu behar duen bere ziurtagiria bakarrik VPN bidez irisgarria den gune batek: DNS zona publiko bat kontrolatzen duzun, ostalari-izena erregistro publikoetan ager daitekeen eta bezero bakoitzari konfiantza-ankla pribatu bat eman dakiokeen. Bide publikoak eta pribatuak biak giltzarrapo funtzionala sortzen dute eta galdera desberdinei erantzuten diete. Baldintza horiek argitu gabe bat aukeratzea da gune bat nahi ez zuen ziurtagiri publiko batekin edo bezeroen erdiak baztertzen duen barneko batekin amaitzeko modua.

Ziurtagiriak izena frogatzen du; VPNak eta barne DNSak bidea ematen dute.

Konfiantzazko izenerako bi bide

DNS-01 baliozkotzearekin egindako emaile publiko batek izen baten kontrola frogatzen du kontrolatzen duzun zona bateko TXT erregistro baten bidez, beraz web zerbitzuak ez du inoiz HTTP konexio publikoa onartu behar. CA pribatu batek barne izenetarako hosto-ziurtagiriak jaulkitzen ditu eta bere konfiantza-ankla gailuen kudeaketaren bidez banatzen du, beraz erregistro publikoek ez dute izena ezagutzen. Biak zilegi dira, eta aukera hiru baldintza horietatik dator, ez erosotasunetik. Inongo bidek ez du bezero batek behar duen ibilbidea edo resolver erregistroa ematen.

Ziurtagiri publikoak ostalari-izena ziurtagirien gardentasun-erregistroetan ere argitaratzen du. Izena bera sentikorra bada, ezagutarazte hori diseinu-erabakia da, eta ez geroago aurkituko den albo-ondorioa.

DNS-01 zerbitzua agerian jarri gabe

Erronka-erregistroa zonan erreserbatutako aurrizki baten azpiko TXT sarrera da, eta emaileak DNS autoritatibotik irakurtzen du. Aukeratu erregistro hori sortu eta ezabatu dezakeen ACME bezeroa eta DNS integrazioa, eta baimendu eguneratzea modu estu batean: zonarako API kredentzial mugatua edo baliozkotzerako soilik erabiltzen den ostalari kontrolatua. Aplikazio-zerbitzariari ziurtagiri bat berritzeko erregistratzaile-kredentzial mugagabea ematea zereginak behar duena baino askoz aginte handiagoa da. Hainbat eskaerek izen bat partekatzen dutenean, eduki itzazu haien TXT balioak bereizita, baten garbiketak beste batek oraindik behar duen balioa ken ez dezan.

Itxaron hedapena zerbitzari autoritatiboen aurkako egiaztapen batekin, itxaronaldi finko baten ordez. Hedapen-portaera hornitzailearen araberakoa da, eta gaur funtzionatzen duen itxaronaldia ez da biharko froga.

Kudeatutako bezeroak eta nahita pribatuak diren izenak

Kudeatutako gailuak eta nahita pribatuak diren izenak ondo egokitzen zaizkio barne CA bati. Banatu konfiantzazko emailea gailuen kudeaketaren bidez, eta gero jaulki hosto-ziurtagiriak aurreikusitako izenetarako. Egiaztatu zein biltegi erabiltzen duen benetan bezero bakoitzak, sistema eragilean egindako inportazio bakar bat ez baita inolako aieru unibertsala nabigatzaile eta aplikazio guztiei buruz. Hostoaren ainguratzea beste aukera bat da esplizituki onartzen den lekuetan, hostoa aldatzen den bakoitzean beste konfiantza-eguneratze baten kostuarekin.

Banaketa-kanalak gakoak adina balio du: inork instalatzen ez duen erro batek ez du ezer babesten.

Berritzea diseinuaren parte da

Aukeratzen duzun bidea aukeratu, berritzeak arduradun bat eta prozedura bat behar ditu. Baliozkotze-froga berritzea, material berria instalatzea eta entzulea onartutako mekanismoaren bidez berriro kargatzea hiru urrats bereizi dira, eta lehenengoa soilik automatizatzen dute ACME bezero gehienek. Behar bezala berritzen den baina inoiz kargatzen ez den ziurtagiri batek iraungitako batek beste etenaldi sortzen du.

Ziurtagiriak ez du VPN ibilbidea instalatzen ezta barne DNS erregistroa sortzen. Bezeroek oraindik izena helbide pribatura mapatzen duen resolver bat eta hara iristeko ibilbide bat behar dituzte. Probatu gunea izenaren arabera biak dituen bezero batetik.

Idatzi emailea, baliozkotze-metodoa, konfiantza banatzeko kanala eta berriz kargatzeko mekanismoa. Lau horiek dira berritze-plana.