HTTPS yksityiseen IP-osoitteeseen: varmenteen identiteetti vai isäntänimi?
Yksityinen IP voi olla kelvollinen TLS-identiteetti, jos varmenne niin kertoo. Valitse IP SANin ja vakaan isäntänimen välillä ja suunnittele sitten osoitteen vaihto.
Palvelusi osoitteessa https://10.60.0.25 voi käyttää todennettua TLS:ää ilman DNS-nimeä. Osoite on identiteetti, joka asiakkaan on validoitava, ja varmenteen on kuvattava se tarkasti. Päätös on, onko osoite tarpeeksi vakaa identiteetiksi vai olisiko isäntänimeä helpompi ylläpitää. VPN vastaa tavoitettavuuteen; se ei vastaa tähän.
Kun identiteetti ja luottamus ovat kunnossa, IP-pohjainen URL on hyväksyttävä ratkaisu.
Mitä asiakas todella validoi
Asiakas vertaa URL:n viiteidentiteettiä varmenteen vaihtoehtoisiin nimikkeisiin. IP-osoitteen kohdalla se tarkoittaa iPAddress-merkintää, joka vastaa osoitetta. Ystävällinen yleisnimi ei korvaa sitä.
RFC 9525 erottaa IP-osoiteidentiteetit DNS-nimistä ja määrittää vastaavuussäännön. Jos osoite on vain subjektin tunnisteessa tai DNS-tyyppisenä merkintänä, vastaavuutta ei synny. Siksi SAN on se kenttä, joka on tarkistettava, kun varoitus ilmestyy.
Luottamus on toinen, riippumaton tarkistus. Nimen vastaavuus ei korjaa epäluotettua ketjua, vanhentunutta varmennetta tai toiseen tarkoitukseen myönnettyä varmennetta.
Päätös yksi: onko osoite tarpeeksi vakaa identiteetiksi
Jos osoite on kiinteä koko käyttöönoton ajan, IP SAN -varmenne on yksinkertainen ja rehellinen. Jos palvelu voi siirtyä, jokaisesta siirrosta tulee varmenteen vaihto ja koordinoitu asiakaspäivitys.
Vakaa isäntänimi vähentää tätä kytkentää. Asiakkaat käyttävät nimeä, hyväksytty DNS yhdistää sen nykyiseen osoitteeseen, ja osoitteen muutos lakkaa olemasta identiteetin muutos. Varmenne on silti uusittava, mutta URL ei muutu.
Hallittu hosts-tiedostomerkintä voi tarjota yhdistämisen pienessä ympäristössä. Se lisää jakeluvastuun; se ei korvaa TLS-tarkistusta.
Päätös kaksi: miten asiakas luottaa myöntäjään
Yksityisen CA:n kohdalla jaa luottamusankkuri aiottuihin laitteisiin hyväksytyllä mekanismilla. Älä opeta käyttäjiä ohittamaan varoituksia tai asentamaan varmennetta, jonka kirjautumissivu antaa heille. Jos haluat julkisesti luotetun varmenteen, tarkista myöntäjän nykyiset säännöt yksityisille osoitteille ennen kuin suunnittelet sen varaan. Useimmat julkiset myöntäjät eivät validoi yksityistä IP:tä julkisena identiteettinä.
Tarkastele varsinaista selainta tai sovellusta. Sen luottamusvarasto ja validointikäyttäytyminen ovat tärkeämpiä kuin käyttöjärjestelmän yleinen varmennedokumentaatio. Tarkista se varsinaisella laitteella, ei vain konsolissa.
VPN-yhdyskäytävä ei välttämättä ole kone, joka suorittaa verkkosovellusta, joten älä oleta, että tunnelin varmenteella on mitään tekemistä tämän kanssa.
Suunnittele osoitteen vaihto ennen kuin se tapahtuu
Jos 10.60.0.25:stä tulee 10.60.0.40, vanha varmenne ei enää kuvaa URL:ää. Suunnittele vaihto ja asiakaspäivitys yhdessä, äläkä koskaan poista validointia käytöstä siirron aikana.
Valitse identiteetti, jonka käyttäjät kirjoittavat tai sovellukset määrittävät, ja kohdista sitten myöntäminen, luottamus, käyttöönotto ja uusiminen sen ympärille. Saavutettava sivu, jonka varoitus on ohitettu, ei ole sama tulos kuin palvelu, jonka identiteetin asiakas validoi.