Tanúsítvány kizárólag VPN-en át elérhető oldalhoz: DNS-01 vagy saját CA?

Három feltétel dönti el, hogyan szerezze be tanúsítványát a kizárólag VPN-en át elérhető webhely: Ön irányít-e nyilvános DNS-zónát, megjelenhet-e a gazdagépnév nyilvános naplókban, és kaphat-e minden ügyfél saját bizalmi horgonyt. A nyilvános és a saját útvonal egyaránt működő lakatot eredményez, és különböző kérdésekre válaszolnak. Az egyik kiválasztása e feltételek tisztázása nélkül az, ahogy az oldal olyan nyilvános tanúsítványhoz jut, amelyet nem akart, vagy olyan belsőhöz, amelyet az ügyfelek fele elutasít.

A tanúsítvány a nevet bizonyítja; a VPN és a belső DNS biztosítja az útvonalat.

Két útvonal a megbízható névhez

A DNS-01 ellenőrzést használó nyilvános kibocsátó TXT-rekorddal bizonyítja a név feletti ellenőrzést az Ön által irányított zónában, így a webszolgáltatásnak soha nem kell nyilvános HTTP-kapcsolatot elfogadnia. A saját CA levéltanúsítványokat ad ki belső nevekhez, és bizalmi horgonyát eszközkezelésen keresztül osztja el, így egyetlen nyilvános napló sem ismeri meg a nevet. Mindkettő jogszerű, és a választás e három feltételből következik, nem a kényelemből. Egyik útvonal sem biztosítja azt az útvonalat vagy feloldóbejegyzést, amelyre az ügyfélnek szüksége van.

A nyilvános tanúsítvány a gazdagépnevet a tanúsítvány-átláthatósági naplókban is közzéteszi. Ha maga a név érzékeny, ez a közzététel tervezési döntés, nem pedig később felfedezett mellékhatás.

DNS-01 a szolgáltatás felfedése nélkül

A kihívásrekord egy TXT-bejegyzés a zóna fenntartott előtagja alatt, és a kibocsátó a hiteles DNS-ből olvassa be. Válasszon olyan ACME-ügyfelet és DNS-integrációt, amely képes létrehozni és eltávolítani ezt a rekordot, és szűken engedélyezze a frissítést: zónára korlátozott API-hitelesítő adat, vagy csak ellenőrzésre használt felügyelt gazdagép. Az alkalmazásszervernek korlátlan regisztrátori hitelesítő adatot adni egyetlen tanúsítvány megújításához sokkal nagyobb felhatalmazás, mint amit a feladat igényel. Ha több megrendelés osztozik egy néven, tartsa külön a TXT-értékeiket, hogy az egyik tisztítása ne távolítson el egy olyan értéket, amelyre a másiknak még szüksége van.

Várja meg a terjedést a hiteles kiszolgálókkal szembeni ellenőrzéssel, fix várakozás helyett. A terjedési viselkedés szolgáltatófüggő, és a ma működő várakozás nem bizonyíték a holnapra.

Kezelt ügyfelek és szándékosan saját nevek

A kezelt eszközök és a szándékosan saját nevek jól illenek egy belső CA-hoz. Ossza el a megbízható kibocsátót eszközkezelésen keresztül, majd adjon ki levéltanúsítványokat a szándékolt nevekhez. Ellenőrizze, melyik tárolót használja valójában minden ügyfél, mert egyetlen operációs rendszerbe történő importálás nem univerzális állítás minden böngészőről és alkalmazásról. A levél rögzítése másik lehetőség ott, ahol kifejezetten támogatott, de a levél minden változásakor még egy bizalmi frissítés árán.

Az elosztási csatorna legalább olyan fontos, mint a kulcs: egy gyökér, amelyet senki nem telepít, semmit nem véd.

A megújítás a tervezés része

Bármelyik útvonalat választja, a megújításhoz felelős és eljárás kell. Az érvényesítési bizonyíték frissítése, az új anyag telepítése és a figyelő újratöltése a támogatott mechanizmusán keresztül három külön lépés, és csak az elsőt automatizálja a legtöbb ACME-ügyfél. Az a tanúsítvány, amely helyesen megújul, de soha nem töltődik be, ugyanolyan kimaradást okoz, mint egy lejárt.

A tanúsítvány nem telepíti a VPN-útvonalat, és nem hozza létre a belső DNS-rekordot. Az ügyfeleknek továbbra is szükségük van egy feloldóra, amely a nevet a saját címhez rendeli, és egy útvonalra, hogy elérjék. Tesztelje az oldalt név szerint egy olyan ügyfélről, amely mindkettővel rendelkezik.

Jegyezze fel a kibocsátót, az érvényesítési módszert, a bizalom elosztási csatornáját és az újratöltési mechanizmust. Ez a négy a megújítási terv.