Vain VPN:n kautta käytettävän sivuston varmenne: DNS-01 vai yksityinen CA?

Kolme ehtoa ratkaisee, miten vain VPN:n kautta saavutettavan sivuston tulisi hankkia varmenteensa: hallitsetko julkista DNS-vyöhykettä, saako isäntänimi näkyä julkisissa lokeissa ja voidaanko jokaiselle asiakkaalle antaa yksityinen luottamuksen ankkuri. Julkinen ja yksityinen reitti tuottavat molemmat toimivan lukon ja ne vastaavat eri kysymyksiin. Yhden valitseminen ilman näiden ehtojen ratkaisemista on se tapa, jolla sivusto päätyy julkiseen varmenteeseen, jota se ei halunnut, tai sisäiseen, jonka puolet asiakkaista hylkää.

Varmenne todistaa nimen; VPN ja sisäinen DNS tarjoavat polun.

Kaksi reittiä luotettuun nimeen

Julkinen myöntäjä DNS-01-validoinnilla todistaa nimen hallinnan TXT-tietueella vyöhykkeellä, jota hallitset, joten verkkopalvelun ei koskaan tarvitse hyväksyä julkista HTTP-yhteyttä. Yksityinen CA myöntää lehtivarmenteita sisäisille nimille ja jakaa luottamuksen ankkurinsa laitehallinnan kautta, joten mikään julkinen loki ei saa nimeä tietoonsa. Molemmat ovat laillisia, ja valinta seuraa näistä kolmesta ehdosta eikä mukavuudesta. Kumpikaan reitti ei tarjoa reittiä tai resolver-merkintää, jonka asiakas tarvitsee.

Julkinen varmenne julkaisee myös isäntänimen varmenteiden läpinäkyvyyslokeissa. Jos nimi itsessään on arkaluonteinen, se paljastaminen on suunnittelupäätös eikä myöhemmin havaittava sivuvaikutus.

DNS-01 paljastamatta palvelua

Haastetietue on TXT-merkintä vyöhykkeen varatun etuliitteen alla, ja myöntäjä lukee sen autoritatiivisesta DNS:stä. Valitse ACME-asiakas ja DNS-integraatio, jotka voivat luoda ja poistaa kyseisen tietueen, ja valtuuta päivitys kapeasti: vyöhykkeelle rajattu API-tunniste tai vain validointiin käytettävä hallittu isäntä. Sovelluspalvelimelle annettu rajoittamaton rekisterinpitäjän tunniste yhden varmenteen uusimiseksi on paljon enemmän valtaa kuin tehtävä vaatii. Kun useat tilaukset jakavat nimen, pidä niiden TXT-arvot erillään, jotta yhden siivoaminen ei poista arvoa, jota toinen vielä tarvitsee.

Odota leviämistä tarkistuksella autoritatiivisia palvelimia vastaan kiinteän odotuksen sijaan. Leviämiskäyttäytyminen riippuu palveluntarjoajasta, eikä tänään toimiva odotus ole todiste huomisesta.

Hallitut asiakkaat ja tarkoituksella yksityiset nimet

Hallitut laitteet ja tarkoituksella yksityiset nimet sopivat hyvin sisäiselle CA:lle. Jaa luotettu myöntäjä laitehallinnan kautta ja myönnä sitten lehtivarmenteet aiottuihin nimiin. Tarkista, mitä varastoa kukin asiakas todella käyttää, koska yksi tuonti käyttöjärjestelmään ei ole yleispätevä väite jokaisesta selaimesta ja sovelluksesta. Lehden kiinnitys on toinen vaihtoehto silloin, kun se on nimenomaisesti tuettu, mutta se maksaa yhden luottamuspäivityksen lisää joka kerta, kun lehti vaihtuu.

Jakelukanava on yhtä tärkeä kuin avain: juuri, jota kukaan ei asenna, ei suojaa mitään.

Uusiminen on osa suunnittelua

Minkä reitin valitsetkin, uusiminen tarvitsee omistajan ja menettelyn. Validoinnin todisteen päivittäminen, uuden materiaalin asentaminen ja kuuntelijan uudelleenlataus sen tuetulla mekanismilla ovat kolme erillistä vaihetta, ja vain ensimmäisen useimmat ACME-asiakkaat automatisoivat. Varmenne, joka uusitaan oikein mutta jota ei koskaan ladata, aiheuttaa saman katkoksen kuin vanhentunut.

Varmenne ei asenna VPN-reittiä eikä luo sisäistä DNS-tietuetta. Asiakkaat tarvitsevat edelleen resolverin, joka yhdistää nimen yksityiseen osoitteeseen, ja reitin sinne pääsemiseksi. Testaa sivusto nimellä asiakkaalta, jolla on molemmat.

Kirjaa myöntäjä, validointimenetelmä, luottamuksen jakelukanava ja uudelleenlatausmekanismi. Ne neljä ovat uusimissuunnitelma.