In sertifikaat foar in side allinnich fia VPN: DNS-01 of in partikuliere CA?

Trije betingsten beslisse hoe’t in side dy’t allinnich fia VPN berikber is, har sertifikaat krije moat: oft jo in iepenbiere DNS-sône beheare, oft de hostnamme yn iepenbiere logs ferskine mei, en oft elke klant in partikulier fertrouwensanker jûn wurde kin. De iepenbiere en de partikuliere rûte leverje beide in wurkjend slot en se beäntwurdzje ferskillende fragen. Ien kieze sûnder dy betingsten te besljochtsjen is hoe’t in side einiget mei in iepenbier sertifikaat dat se net woe, of in ynterne dat de helte fan ’e klanten wegere.

It sertifikaat bewissiget de namme; de VPN en de ynterne DNS leverje it paad.

Twa rûtes nei in fertroude namme

In iepenbiere útjouwer mei DNS-01-falidaasje bewissiget kontrôle oer in namme fia in TXT-record yn in sône dy’t jo beheare, sadat de websjinst nea in iepenbiere HTTP-ferbining hoecht te akseptearjen. In partikuliere CA jout blêdsertifikaten foar ynterne nammen út en ferspriedt syn fertrouwensanker fia apparaatbehear, sadat gjin iepenbier log de namme leart. Beide binne legitym, en de kar folget út dy trije betingsten yn stee fan út gemak. Gjin fan ’e rûtes leveret de rûte of de resolver-yngong dy’t in klant nedich hat.

In iepenbier sertifikaat publisearret ek de hostnamme yn sertifikaat-transparânsjelogs. As de namme sels gefoelich is, is dy iepenbaring in ûntwerpbeslút en net in bywurking dy’t jo letter ûntdekke.

DNS-01 sûnder de tsjinst bleat te stellen

It útdagingsrecord is in TXT-yngong ûnder in reservearre foarheaksel yn ’e sône, en de útjouwer lêst it út autoritative DNS. Kies in ACME-klant en DNS-ynjochting dy’t dat record meitsje en fuortsmite kinne, en jou de bywurking in smelle folmacht: in beheind API-bewiis foar de sône, of in beheard host dy’t allinnich foar falidaasje brûkt wurdt. De applikaasjetsjinner in ûnbeheind registratorbewiis jaan om ien sertifikaat te fernijen is folle mear foech as de taak nedich hat. As ferskate oarders ien namme diele, hâld har TXT-wearden skieden, sadat it opromjen fan ien gjin wearde fuortsmyt dy’t in oar noch nedich hat.

Wachtsje op fersprieding mei in kontrôle tsjin ’e autoritative tsjinners yn stee fan in fêste sliep. Ferspriedingsgedrach is ôfhinklik fan ’e leveransier, en in sliep dy’t hjoed wurket is gjin bewiis oer moarn.

Behearde klanten en bewust partikuliere nammen

Behearde apparaten en bewust partikuliere nammen passe goed by in ynterne CA. Ferspried it fertroude útjouwer fia apparaatbehear, en jou dan blêdsertifikaten foar de bedoelde nammen út. Kontrolearje hokker opslach elke klant echt brûkt, want ien ymport yn it bestjoeringssysteem is gjin universele bewearing oer elke browser en applikaasje. Blêdfêstiging is in oare opsje wêr’t it eksplisyt stipe wurdt, tsjin ’e priis fan noch in fertrouwensbywurking elke kear as it blêd feroaret.

It ferspriedingskanaal telt likefolle as de kaai: in woartel dy’t nimmen ynstallearret beskermet neat.

Fernijing is diel fan it ûntwerp

Hokker rûte jo ek kieze, fernijing hat in eigner en in proseduere nedich. It fernijen fan it falidaasjebewiis, it ynstallearjen fan it nije materiaal en it werladen fan de listener fia syn stipe meganisme binne trije aparte stappen, en allinnich de earste wurdt troch de measte ACME-klanten automatisearre. In sertifikaat dat korrekt fernijt mar nea laden wurdt, jout deselde ûnderbrekking as ien dat ferrûn is.

It sertifikaat ynstallearret de VPN-rûte net en makket it ynterne DNS-record net. Klanten hawwe noch hieltyd in resolver nedich dy’t de namme oan it partikuliere adres keppelt en in rûte om dêr te kommen. Test de side by namme fan in klant dy’t beide hat.

Skriuw de útjouwer, de falidaasjemetoade, it fertrouwensferspriedingskanaal en it werlaadmeganisme op. Dy fjouwer binne it fernijingsplan.