Un certificado para un sitio só por VPN: DNS-01 ou CA privada?

Tres condicións deciden como debe obter o certificado un sitio web só por VPN: se controla unha zona DNS pública, se o nome de host pode aparecer en rexistros públicos e se é posible dar a cada cliente unha áncora de confianza privada. A ruta pública e a privada producen ambas un candado que funciona e responden a preguntas diferentes. Escoller unha sen resolver esas condicións é como un sitio acaba cun certificado público que non quería, ou cun interno que a metade dos clientes rexeitan.

O certificado demostra o nome; a VPN e o DNS interno proporcionan o camiño.

Dúas rutas cara a un nome de confianza

Un emisor público con validación DNS-01 demostra o control dun nome mediante un rexistro TXT nunha zona que vostede controla, así que o servizo web nunca ten que aceptar unha conexión HTTP pública. Unha CA privada emite certificados folla para nomes internos e distribúe a súa áncora de confianza mediante a xestión de dispositivos, de modo que ningún rexistro público chega a coñecer o nome. Ambas son lexítimas, e a escolla derívase desas tres condicións e non da comodidade. Ningunha das dúas rutas achega a ruta nin a entrada de resolución que necesita un cliente.

Un certificado público tamén publica o nome de host nos rexistros de transparencia de certificados. Se o nome en si é sensible, esa divulgación é unha decisión de deseño e non un efecto secundario que se descubra despois.

DNS-01 sen expor o servizo

O rexistro de desafío é unha entrada TXT baixo un prefixo reservado na zona, e o emisor léa do DNS autoritativo. Escolla un cliente ACME e unha integración DNS que poidan crear e eliminar ese rexistro, e autorice a actualización de forma estreita: unha credencial API de alcance limitado para a zona, ou un host controlado que se use só para a validación. Dar ao servidor de aplicacións unha credencial de rexistrador sen restricións para renovar un só certificado é moita máis autoridade da que a tarefa precisa. Cando varios pedidos comparten un nome, manteña os seus valores TXT separados para que limpar un non elimine un valor que outro aínda necesita.

Agarde a propagación cunha comprobación contra os servidores autoritativos en lugar dunha espera fixa. O comportamento de propagación depende do provedor, e unha espera que funciona hoxe non é proba sobre mañá.

Clientes xestionados e nomes deliberadamente privados

Os dispositivos xestionados e os nomes deliberadamente privados encaixan ben cunha CA interna. Distribúa o emisor de confianza mediante a xestión de dispositivos e despois emita certificados folla para os nomes previstos. Comprobe que almacén usa realmente cada cliente, porque unha única importación no sistema operativo non é unha afirmación universal sobre todos os navegadores e aplicacións. A fixación da folla é outra opción onde se admite explicitamente, a costa doutra actualización de confianza cada vez que cambia a folla.

A canle de distribución importa tanto como a chave: unha raíz que ninguén instala non protexe nada.

A renovación forma parte do deseño

Escolla a ruta que escolla, a renovación necesita un responsable e un procedemento. Renovar a proba de validación, instalar o material novo e recargar o oínte mediante o seu mecanismo admitido son tres pasos separados, e só o primeiro o automatizan a maioría dos clientes ACME. Un certificado que se renova correctamente pero nunca se carga produce a mesma interrupción que un que caducou.

O certificado non instala a ruta VPN nin crea o rexistro DNS interno. Os clientes seguen necesitando un resolutor que asocie o nome ao enderezo privado e mais unha ruta para chegar. Probe o sitio polo nome desde un cliente que teña ambos.

Anote o emisor, o método de validación, a canle de distribución de confianza e o mecanismo de recarga. Eses catro son o plan de renovación.