HTTPS á einkaeina IP: auðkenni skírteinis eða hýsingarheiti?
Einkaein IP getur verið gilt TLS-auðkenni ef skírteinið segir svo. Veldu milli IP SAN og stöðugs hýsingarheitis og skipuleggðu síðan heimilisfangsbreytinguna.
Þjónustan þín á https://10.60.0.25 getur haft sannreynt TLS jafnvel án DNS-heitis. Heimilisfangið er auðkennið sem biðlarinn verður að sannreyna, og skírteinið verður að lýsa því nákvæmlega. Ákvörðunin er hvort heimilisfangið er nógu stöðugt til að vera auðkenni, eða hvort hýsingarheiti væri auðveldara í viðhaldi. VPN-ið svarar aðgengi; það svarar þessu ekki.
Ef auðkennið og traustið er rétt er IP-undirstaða vefslóð lögmæt hönnun.
Hvað biðlarinn sannreynir í raun
Biðlarinn ber saman viðmiðunarauðkennið í vefslóðinni og varanleg heiti viðfangsefnis skírteinisins. Fyrir IP-heimilisfang þýðir það iPAddress-færslu sem jafngildir heimilisfanginu. Vingjarnlegt algilt heiti kemur ekki í staðinn.
RFC 9525 aðgreinir auðkenni IP-heimilisfanga frá DNS-heitum og skilgreinir samsvörunarregluna. Að setja heimilisfangið aðeins í viðfangsefnismerkið, eða sem færslu af DNS-gerð, gefur ekki samsvörun. Þess vegna er SAN reiturinn sem skoða þarf þegar viðvörun birtist.
Traust er önnur, óháð athugun. Nafnasamsvörun lagar ekki ótrausta keðju, útrunnið skírteini eða skírteini sem gefið er út í öðrum tilgangi.
Ákvörðun eitt: er heimilisfangið nógu stöðugt til að vera auðkenni
Ef heimilisfangið er fast alla ævi uppsetningarinnar er IP SAN-skírteini einfalt og heiðarlegt. Ef þjónustan getur flutt sig verður hver flutningur skipti á skírteini og samræmd uppfærsla biðlara.
Stöðugt hýsingarheiti dregur úr þessum tengslum. Biðlarar nota heitið, samþykkt DNS varpar því á núverandi heimilisfang, og heimilisfangsbreyting hættir að vera auðkennisbreyting. Skírteinið þarf enn endurnýjun, en vefslóðin breytist ekki.
Stýrð færsla í hosts-skrá getur veitt vörpunina í litlu umhverfi. Hún bætir við dreifingarbyrgð; hún kemur ekki í stað TLS-sannprófunar.
Ákvörðun tvö: hvernig biðlarinn mun treysta útgefandanum
Fyrir einkarekið CA skaltu dreifa traustsankerinu til fyrirhugaðra tækja með samþykktri aðferð. Ekki kenna notendum að smella fram hjá viðvörunum eða setja upp skírteini sem innskráningarsíða gefur þeim. Ef þú vilt opinbert traust skírteini skaltu athuga gildandi reglur útgefandans fyrir einkaein heimilisföng áður en þú skipuleggur út frá því. Flestir opinberir útgefendur munu ekki sannreyna einkaeina IP sem opinbert auðkenni.
Skoðaðu raunverulega vafrann eða forritið. Traustgeymsla þess og sannprófunarhegðun skipta meira máli en almenn skírteinaskjöl stýrikerfisins. Athugaðu það á raunverulega tækinu, ekki bara í stjórnborðinu.
VPN-gáttin er kannski ekki vélin sem keyrir vefforritið, svo ekki gera ráð fyrir að skírteini göngunnar hafi nokkuð með þetta að gera.
Skipuleggðu heimilisfangsbreytinguna áður en hún verður
Ef 10.60.0.25 verður 10.60.0.40 lýsir gamla skírteinið ekki lengur vefslóðinni. Skipuleggðu skiptin og uppfærslu biðlara saman, og slökktu aldrei á sannprófun meðan flutningur stendur.
Veldu auðkennið sem notendur slá inn eða forrit stilla, og samræmdu síðan útgáfu, traust, uppsetningu og endurnýjun í kringum það. Aðgengileg síða með hafnaðri viðvörun er ekki sama niðurstaða og þjónusta sem biðlarinn sannreynir auðkenni hennar.