निजी IP पर HTTPS: प्रमाणपत्र की पहचान या होस्टनाम?

https://10.60.0.25 पर आपकी सेवा DNS नाम के बिना भी प्रमाणित TLS रख सकती है। पता ही वह पहचान है जिसे क्लाइंट को सत्यापित करना होता है, और प्रमाणपत्र को उसे ठीक-ठीक बताना चाहिए। निर्णय यह है कि क्या वह पता पहचान बनने के लिए पर्याप्त स्थिर है, या होस्टनाम रखरखाव के लिए आसान रहेगा। VPN पहुँच का उत्तर देता है; यह इसका उत्तर नहीं देता।

पहचान और भरोसे को सही रखें, तो IP-आधारित URL एक वैध डिज़ाइन है।

क्लाइंट वास्तव में क्या सत्यापित करता है

क्लाइंट URL में दी गई संदर्भ पहचान की तुलना प्रमाणपत्र के वैकल्पिक विषय नामों से करता है। IP पते के लिए इसका अर्थ है पते के बराबर एक iPAddress प्रविष्टि। मैत्रीपूर्ण सामान्य नाम इसका विकल्प नहीं है।

RFC 9525 IP पता पहचानों को DNS नामों से अलग करता है और मिलान का नियम परिभाषित करता है। पते को केवल विषय लेबल में या DNS-प्रकार की प्रविष्टि के रूप में रखने से मिलान नहीं बनता। इसलिए चेतावनी दिखने पर SAN ही वह फ़ील्ड है जिसे जाँचना चाहिए।

भरोसा एक दूसरा, स्वतंत्र जाँच है। नाम का मिलान अविश्वसनीय श्रृंखला, समाप्त प्रमाणपत्र या किसी अन्य उद्देश्य के लिए जारी प्रमाणपत्र को ठीक नहीं करता।

पहला निर्णय: क्या पता पहचान बनने के लिए पर्याप्त स्थिर है

यदि पता पूरे परिनियोजन के जीवनकाल में स्थिर है, तो IP SAN प्रमाणपत्र सरल और ईमानदार है। यदि सेवा स्थानांतरित हो सकती है, तो हर स्थानांतरण प्रमाणपत्र के प्रतिस्थापन और समन्वित क्लाइंट अद्यतन में बदल जाता है।

स्थिर होस्टनाम उस युग्मन को कम करता है। क्लाइंट नाम का उपयोग करते हैं, स्वीकृत DNS उसे वर्तमान पते से जोड़ता है, और पता बदलना पहचान बदलना नहीं रह जाता। प्रमाणपत्र को अभी भी नवीनीकरण चाहिए, पर URL नहीं बदलता।

प्रबंधित hosts फ़ाइल प्रविष्टि छोटे वातावरण में मैपिंग दे सकती है। यह वितरण की जिम्मेदारी जोड़ती है; यह TLS सत्यापन का विकल्प नहीं है।

दूसरा निर्णय: क्लाइंट जारीकर्ता पर कैसे भरोसा करेगा

निजी CA के लिए, स्वीकृत तंत्र से भरोसा-एंकर को इच्छित उपकरणों तक वितरित करें। उपयोगकर्ताओं को चेतावनियाँ पार करना या साइन-इन पृष्ठ से मिला प्रमाणपत्र स्थापित करना न सिखाएँ। यदि सार्वजनिक रूप से विश्वसनीय प्रमाणपत्र चाहिए, तो योजना बनाने से पहले निजी पतों के लिए जारीकर्ता के वर्तमान नियम देखें। अधिकांश सार्वजनिक जारीकर्ता निजी IP को सार्वजनिक पहचान के रूप में सत्यापित नहीं करेंगे।

वास्तविक ब्राउज़र या एप्लिकेशन देखें। उसका ट्रस्ट स्टोर और सत्यापन व्यवहार ऑपरेटिंग सिस्टम के सामान्य प्रमाणपत्र दस्तावेज़ से अधिक महत्वपूर्ण हैं। इसे केवल कंसोल में नहीं, वास्तविक उपकरण पर जाँचें।

हो सकता है कि VPN गेटवे वह मशीन न हो जो वेब एप्लिकेशन चलाती है, इसलिए यह न मानें कि टनल के प्रमाणपत्र का इससे कोई संबंध है।

पता बदलने से पहले उसकी योजना बनाएँ

यदि 10.60.0.25, 10.60.0.40 हो जाता है, तो पुराना प्रमाणपत्र अब URL का वर्णन नहीं करता। प्रतिस्थापन और क्लाइंट अद्यतन की योजना साथ बनाएँ, और स्थानांतरण के दौरान सत्यापन कभी बंद न करें।

वह पहचान चुनें जो उपयोगकर्ता लिखेंगे या एप्लिकेशन कॉन्फ़िगर करेंगे, फिर उसके इर्द-गिर्द जारी करना, भरोसा, परिनियोजन और नवीनीकरण संरेखित करें। खारिज की गई चेतावनी वाला पहुँच-योग्य पृष्ठ उस सेवा के समान परिणाम नहीं है जिसकी पहचान क्लाइंट सत्यापित करता है।