Certifikat za stranicu samo preko VPN-a: DNS-01 ili privatni CA?

Tri uvjeta odlučuju kako stranica dostupna samo preko VPN-a treba dobiti svoj certifikat: kontrolirate li javnu DNS zonu, smije li se ime hosta pojaviti u javnim zapisima i može li svakom klijentu biti dan privatni oslonac povjerenja. Javni i privatni put oba daju katanac koji radi i odgovaraju na različita pitanja. Odabir jednoga bez rješavanja tih uvjeta način je na koji stranica završi s javnim certifikatom koji nije htjela, ili s internim koji polovica klijenata odbija.

Certifikat dokazuje ime; VPN i interni DNS pružaju put.

Dva puta do pouzdanog imena

Javni izdavatelj s validacijom DNS-01 dokazuje kontrolu nad imenom kroz TXT zapis u zoni koju kontrolirate, pa web usluga nikada ne mora prihvatiti javnu HTTP vezu. Privatni CA izdaje završne certifikate za interna imena i distribuira svoj oslonac povjerenja kroz upravljanje uređajima, pa nijedan javni zapis ne sazna ime. Oba su legitimna, a izbor slijedi iz tih triju uvjeta, a ne iz udobnosti. Nijedan put ne pruža rutu ni unos u razrješivaču koji klijent treba.

Javni certifikat također objavljuje ime hosta u zapisima transparentnosti certifikata. Ako je samo ime osjetljivo, to otkrivanje je dizajnerska odluka, a ne nuspojava koju ćete otkriti kasnije.

DNS-01 bez izlaganja usluge

Zapis izazova je TXT unos pod rezerviranim prefiksom u zoni, a izdavatelj ga čita s autoritativnog DNS-a. Odaberite ACME klijent i DNS integraciju koji mogu stvoriti i ukloniti taj zapis i usko ovlastite ažuriranje: ograničeni API akreditiv za zonu ili kontrolirani host koji se koristi samo za validaciju. Dati aplikacijskom poslužitelju neograničen registrarski akreditiv za obnovu jednog certifikata daleko je više ovlasti nego što zadatak traži. Kada više narudžbi dijeli ime, držite njihove TXT vrijednosti odvojenima kako čišćenje jedne ne bi uklonilo vrijednost koja je drugoj još potrebna.

Pričekajte propagaciju s provjerom prema autoritativnim poslužiteljima, a ne s fiksnim čekanjem. Ponašanje propagacije ovisi o pružatelju, a čekanje koje danas radi nije dokaz o sutra.

Upravljani klijenti i namjerno privatna imena

Upravljani uređaji i namjerno privatna imena dobro pristaju internom CA-u. Distribuirajte pouzdanog izdavatelja kroz upravljanje uređajima, zatim izdajte završne certifikate za predviđena imena. Provjerite koje spremište svaki klijent stvarno koristi, jer jedan uvoz u operativni sustav nije univerzalna tvrdnja o svakom pregledniku i aplikaciji. Pribijanje završnog certifikata još je jedna opcija gdje je izričito podržano, uz cijenu još jednog ažuriranja povjerenja kad god se završni certifikat promijeni.

Kanal distribucije jednako je važan kao ključ: korijen koji nitko ne instalira ne štiti ništa.

Obnova je dio dizajna

Koji god put odabrali, obnova treba vlasnika i postupak. Osvježavanje dokaza validacije, instaliranje novog materijala i ponovno učitavanje slušatelja kroz njegov podržani mehanizam tri su odvojena koraka, a samo prvi većina ACME klijenata automatizira. Certifikat koji se ispravno obnavlja ali nikada ne učita proizvodi isti prekid kao onaj koji je istekao.

Certifikat ne instalira VPN rutu niti stvara interni DNS zapis. Klijenti i dalje trebaju razrješivač koji ime preslikava na privatnu adresu i rutu da do njega dođu. Testirajte stranicu po imenu s klijenta koji ima oboje.

Zabilježite izdavatelja, metodu validacije, kanal distribucije povjerenja i mehanizam ponovnog učitavanja. Ta četiri su plan obnove.