Sertifikat untuk situs khusus VPN: DNS-01 atau CA privat?

Tiga kondisi menentukan bagaimana situs web khusus VPN seharusnya memperoleh sertifikatnya: apakah Anda mengendalikan zona DNS publik, apakah nama host boleh muncul di log publik, dan apakah setiap klien bisa diberi jangkar kepercayaan privat. Jalur publik dan privat keduanya menghasilkan gembok yang berfungsi dan menjawab pertanyaan yang berbeda. Memilih salah satu tanpa menyelesaikan kondisi itu adalah cara sebuah situs berakhir dengan sertifikat publik yang tidak diinginkannya, atau sertifikat internal yang ditolak separuh klien.

Sertifikat membuktikan namanya; VPN dan DNS internal menyediakan jalurnya.

Dua jalur menuju nama tepercaya

Penerbit publik dengan validasi DNS-01 membuktikan kendali atas sebuah nama melalui catatan TXT di zona yang Anda kendalikan, sehingga layanan web tidak pernah harus menerima koneksi HTTP publik. CA privat menerbitkan sertifikat daun untuk nama internal dan menyebarkan jangkar kepercayaannya melalui manajemen perangkat, sehingga tidak ada log publik yang mengetahui nama itu. Keduanya sah, dan pilihan mengikuti ketiga kondisi itu, bukan kemudahan. Tak satu pun jalur menyediakan rute atau entri resolver yang dibutuhkan klien.

Sertifikat publik juga menerbitkan nama host di log transparansi sertifikat. Jika namanya sendiri sensitif, pengungkapan itu adalah keputusan desain, bukan efek samping yang baru ditemukan belakangan.

DNS-01 tanpa mengekspos layanan

Catatan tantangan adalah entri TXT di bawah awalan yang dicadangkan di zona, dan penerbit membacanya dari DNS otoritatif. Pilih klien ACME dan integrasi DNS yang dapat membuat dan menghapus catatan itu, dan otorisasi pembaruannya secara sempit: kredensial API terbatas untuk zona, atau host terkendali yang hanya dipakai untuk validasi. Memberi server aplikasi kredensial registrar tanpa batas untuk memperbarui satu sertifikat jauh lebih besar kewenangannya daripada yang dibutuhkan tugas ini. Saat beberapa pesanan berbagi satu nama, jaga nilai TXT-nya tetap terpisah agar pembersihan satu tidak menghapus nilai yang masih dibutuhkan yang lain.

Tunggu propagasi dengan pemeriksaan terhadap server otoritatif, bukan dengan jeda tetap. Perilaku propagasi bergantung pada penyedia, dan jeda yang berhasil hari ini bukan bukti untuk besok.

Klien terkelola dan nama yang sengaja privat

Perangkat terkelola dan nama yang sengaja privat cocok dengan CA internal. Sebarkan penerbit tepercaya melalui manajemen perangkat, lalu terbitkan sertifikat daun untuk nama yang dimaksud. Periksa penyimpanan mana yang benar-benar dipakai tiap klien, karena satu impor di sistem operasi bukan klaim universal tentang semua peramban dan aplikasi. Pinning daun adalah opsi lain bila didukung secara eksplisit, dengan biaya pembaruan kepercayaan lagi setiap kali daun berubah.

Saluran distribusi sama pentingnya dengan kunci: akar yang tidak dipasang siapa pun tidak melindungi apa pun.

Perpanjangan adalah bagian dari desain

Jalur mana pun yang Anda pilih, perpanjangan membutuhkan pemilik dan prosedur. Menyegarkan bukti validasi, memasang materi baru, dan memuat ulang pendengar melalui mekanisme yang didukungnya adalah tiga langkah terpisah, dan hanya langkah pertama yang diotomatiskan sebagian besar klien ACME. Sertifikat yang diperpanjang dengan benar tetapi tidak pernah dimuat menghasilkan pemadaman yang sama dengan yang sudah kedaluwarsa.

Sertifikat tidak memasang rute VPN atau membuat catatan DNS internal. Klien tetap memerlukan resolver yang memetakan nama ke alamat privat dan rute untuk mencapainya. Uji situs berdasarkan nama dari klien yang memiliki keduanya.

Catat penerbit, metode validasi, saluran distribusi kepercayaan, dan mekanisme muat ulang. Keempatnya adalah rencana perpanjangan.