ફક્ત VPN દ્વારા ચાલતી સાઇટ માટે પ્રમાણપત્ર: DNS-01 કે ખાનગી CA?

ફક્ત VPN દ્વારા ઉપલબ્ધ સાઇટ તેનું પ્રમાણપત્ર કેવી રીતે મેળવે તે ત્રણ શરતો નક્કી કરે છે: તમે જાહેર DNS ઝોન નિયંત્રિત કરો છો કે નહીં, હોસ્ટનામ જાહેર લોગમાં દેખાઈ શકે છે કે નહીં, અને દરેક ક્લાયન્ટને ખાનગી ટ્રસ્ટ એન્કર આપી શકાય છે કે નહીં. જાહેર અને ખાનગી — બંને માર્ગ કાર્યક્ષમ તાળું બનાવે છે અને તેઓ વિવિધ પ્રશ્નોના જવાબ આપે છે. આ શરતો નક્કી કર્યા વિના એક પસંદ કરવી એ જ રીતે સાઇટ એવા જાહેર પ્રમાણપત્ર સુધી પહોંચે છે જે તેણે ઇચ્છ્યું ન હતું, અથવા એવા આંતરિક પ્રમાણપત્ર સુધી જે અડધા ક્લાયન્ટ નકારી કાઢે છે.

પ્રમાણપત્ર નામ સાબિત કરે છે; VPN અને આંતરિક DNS માર્ગ પૂરો પાડે છે.

વિશ્વસનીય નામ તરફ બે માર્ગ

DNS-01 માન્યતા સાથેનું જાહેર ઇશ્યુઅર તમે નિયંત્રિત કરો છો તેવા ઝોનમાં TXT રેકોર્ડ દ્વારા નામ પરનું નિયંત્રણ સાબિત કરે છે, તેથી વેબ સેવાને ક્યારેય જાહેર HTTP કનેક્શન સ્વીકારવું પડતું નથી. ખાનગી CA આંતરિક નામો માટે લીફ પ્રમાણપત્રો બહાર પાડે છે અને ઉપકરણ વ્યવસ્થાપન દ્વારા તેનું ટ્રસ્ટ એન્કર વિતરિત કરે છે, તેથી કોઈ જાહેર લોગ નામ જાણતું નથી. બંને વૈધ છે, અને પસંદગી સગવડમાંથી નહીં, તે ત્રણ શરતોમાંથી આવે છે. કોઈ પણ માર્ગ ક્લાયન્ટને જરૂરી માર્ગ કે રિઝોલ્વર એન્ટ્રી પૂરી પાડતું નથી.

જાહેર પ્રમાણપત્ર હોસ્ટનામને પ્રમાણપત્ર-પારદર્શિતા લોગમાં પણ પ્રકાશિત કરે છે. જો નામ પોતે સંવેદનશીલ હોય, તો તે જાહેરાત પછી શોધવાનું આડઅસર નહીં, પરંતુ ડિઝાઇન નિર્ણય છે.

સેવા ખુલ્લી ન કરતાં DNS-01

ચેલેન્જ રેકોર્ડ ઝોનમાં અનામત પ્રીફિક્સ હેઠળની TXT એન્ટ્રી છે, અને ઇશ્યુઅર તેને અધિકૃત DNS માંથી વાંચે છે. એવો ACME ક્લાયન્ટ અને DNS એકીકરણ પસંદ કરો જે તે રેકોર્ડ બનાવી અને દૂર કરી શકે, અને અપડેટને સાંકડી રીતે અધિકૃત કરો: ઝોન માટે મર્યાદિત API ક્રેડેન્શિયલ, અથવા ફક્ત માન્યતા માટે વપરાતો નિયંત્રિત હોસ્ટ. એક પ્રમાણપત્ર નવીકરણ કરવા માટે એપ્લિકેશન સર્વરને અમર્યાદિત રજિસ્ટ્રાર ક્રેડેન્શિયલ આપવું એ કાર્યની જરૂર કરતાં ઘણું વધારે સત્તા છે. જ્યારે ઘણા ઓર્ડર એક નામ વહેંચે, ત્યારે તેમની TXT કિંમતો અલગ રાખો જેથી એકને સાફ કરવાથી બીજાને હજી જરૂરી કિંમત દૂર ન થાય.

નિશ્ચિત રાહ જોવાને બદલે અધિકૃત સર્વરો સામે ચકાસણી સાથે પ્રસારની રાહ જુઓ. પ્રસારનું વર્તન પ્રદાતા પ્રમાણે બદલાય છે, અને આજે કામ કરતી રાહ કાલ વિશે પુરાવો નથી.

વ્યવસ્થાપિત ક્લાયન્ટ અને જાણી જોઈને ખાનગી નામો

વ્યવસ્થાપિત ઉપકરણો અને જાણી જોઈને ખાનગી નામો આંતરિક CA સાથે સારી રીતે મેળ ખાય છે. ઉપકરણ વ્યવસ્થાપન દ્વારા વિશ્વસનીય ઇશ્યુઅર વિતરિત કરો, પછી ઇચ્છિત નામો માટે લીફ પ્રમાણપત્રો બહાર પાડો. દરેક ક્લાયન્ટ ખરેખર કયો સ્ટોર વાપરે છે તે તપાસો, કારણ કે ઓપરેટિંગ સિસ્ટમમાં એક આયાત દરેક બ્રાઉઝર અને એપ્લિકેશન વિશે સાર્વત્રિક દાવો નથી. લીફ પિનિંગ બીજો વિકલ્પ છે જ્યાં તે સ્પષ્ટ રીતે સમર્થિત છે, પરંતુ લીફ બદલાય ત્યારે વધુ એક ટ્રસ્ટ અપડેટના ખર્ચે.

વિતરણ ચેનલ ચાવી જેટલી જ મહત્વપૂર્ણ છે: જે રૂટ કોઈ સ્થાપિત કરતું નથી તે કંઈ રક્ષણ કરતું નથી.

નવીકરણ ડિઝાઇનનો ભાગ છે

તમે જે પણ માર્ગ પસંદ કરો, નવીકરણને માલિક અને પ્રક્રિયા જોઈએ. માન્યતાનો પુરાવો તાજો કરવો, નવી સામગ્રી સ્થાપિત કરવી અને સમર્થિત પદ્ધતિ દ્વારા શ્રોતાને ફરી લોડ કરવો — આ ત્રણ અલગ પગલાં છે, અને ફક્ત પ્રથમને જ મોટાભાગના ACME ક્લાયન્ટ સ્વયં કરે છે. જે પ્રમાણપત્ર યોગ્ય રીતે નવીકરણ થાય છે પણ ક્યારેય લોડ થતું નથી તે સમાપ્ત થયેલા પ્રમાણપત્ર જેટલું જ વિક્ષેપ સર્જે છે.

પ્રમાણપત્ર VPN માર્ગ સ્થાપિત કરતું નથી કે આંતરિક DNS રેકોર્ડ બનાવતું નથી. ક્લાયન્ટને હજી પણ એવો રિઝોલ્વર જોઈએ જે નામને ખાનગી સરનામા સાથે જોડે, અને ત્યાં પહોંચવા માટે માર્ગ. જે ક્લાયન્ટ પાસે બંને છે તેનાથી નામ દ્વારા સાઇટ ચકાસો.

ઇશ્યુઅર, માન્યતા પદ્ધતિ, ટ્રસ્ટ વિતરણ ચેનલ અને ફરી લોડ કરવાની પદ્ધતિ નોંધો. તે ચાર જ નવીકરણ યોજના છે.