HTTPS לכתובת IP פרטית: זהות התעודה או שם מארח?
כתובת IP פרטית יכולה להיות זהות TLS תקפה אם התעודה אומרת זאת. בחרו בין SAN של IP לבין שם מארח יציב, ואז תכננו את שינוי הכתובת.
השירות שלכם בכתובת https://10.60.0.25 יכול לקבל TLS מאומת גם בלי שם DNS. הכתובת היא הזהות שעל הלקוח לאמת, והתעודה חייבת לתאר אותה במדויק. ההחלטה היא אם הכתובת יציבה מספיק כדי להיות זהות, או ששם מארח יהיה קל יותר לתחזוקה. ה-VPN עונה על נגישות; הוא אינו עונה על זה.
אם הזהות והאמון נכונים, כתובת URL מבוססת IP היא עיצוב לגיטימי.
מה הלקוח באמת מאמת
הלקוח משווה את זהות ההתייחסות בכתובת ה-URL לשמות החלופיים של נושא התעודה. בכתובת IP זה אומר רשומת iPAddress השווה לכתובת. שם נפוץ ידידותי אינו תחליף.
RFC 9525 מפריד בין זהויות של כתובות IP לבין שמות DNS ומגדיר את כלל ההתאמה. הצבת הכתובת רק בתווית הנושא, או כרשומה מסוג DNS, אינה יוצרת התאמה. לכן ה-SAN הוא השדה שיש לבדוק כשמופיעה אזהרה.
אמון הוא בדיקה שנייה ובלתי תלויה. התאמת שם אינה מתקנת שרשרת לא מהימנה, תעודה שפג תוקפה או תעודה שהונפקה למטרה אחרת.
החלטה אחת: האם הכתובת יציבה מספיק כדי להיות זהות
אם הכתובת קבועה לכל חיי הפריסה, תעודת SAN של IP היא פשוטה וכנה. אם השירות עשוי לנוע, כל תנועה הופכת להחלפת תעודה ולעדכון לקוחות מתואם.
שם מארח יציב מפחית את הצימוד הזה. לקוחות משתמשים בשם, DNS מאושר ממפה אותו לכתובת הנוכחית, ושינוי כתובת מפסיק להיות שינוי זהות. התעודה עדיין זקוקה לחידוש, אך הכתובת אינה משתנה.
רשומת hosts מנוהלת יכולה לספק את המיפוי בסביבה קטנה. היא מוסיפה אחריות להפצה; היא אינה מחליפה אימות TLS.
החלטה שנייה: כיצד הלקוח יאמין למנפיק
עבור CA פרטי, הפיצו את עוגן האמון להתקנים המיועדים באמצעות מנגנון מאושר. אל תלמדו משתמשים לעבור אזהרות או להתקין תעודה שדף הכניסה נותן להם. אם אתם רוצים תעודה מהימנה לציבור, בדקו את הכללים הנוכחיים של המנפיק לכתובות פרטיות לפני שתכננו סביבה. רוב המנפיקים הציבוריים לא יאמתו IP פרטי כזהות ציבורית.
בדקו את הדפדפן או היישום בפועל. מאגר האמון והתנהגות האימות שלהם חשובים יותר מתיעוד התעודות הכללי של מערכת ההפעלה. בדקו זאת במכשיר בפועל, לא רק בקונסולה.
ייתכן ששער ה-VPN אינו המכונה שמריצה את יישום האינטרנט, לכן אל תניחו שלתעודת המנהרה יש קשר לזו.
תכננו את שינוי הכתובת לפני שהוא קורה
אם 10.60.0.25 יהפוך ל-10.60.0.40, התעודה הישנה אינה מתארת עוד את הכתובת. תכננו את ההחלפה ואת עדכון הלקוח יחד, ולעולם אל תשביתו אימות במהלך המעבר.
בחרו את הזהות שמשתמשים יקלידו או שיישומים יגדירו, ואז יישרו סביבה הנפקה, אמון, פריסה וחידוש. דף נגיש עם אזהרה שנדחתה אינו אותה תוצאה כמו שירות שהלקוח מאמת את זהותו.