Skírteini fyrir vef sem aðeins er opinn í gegnum VPN: DNS-01 eða einkarekið CA?

Þrjú skilyrði ráða því hvernig vefur sem aðeins er opinn í gegnum VPN eigi að fá skírteini sitt: hvort þú stjórnar opinberu DNS-svæði, hvort hostnafnið megi birtast í opinberum annálum og hvort hægt sé að gefa hverjum biðlara einkanlegt traustsakkeri. Opinbera og einkarekna leiðin skila báðar virkri skrá og þær svara ólíkum spurningum. Að velja aðra án þess að útkljá þessi skilyrði er leiðin sem vefur endar með opinbert skírteini sem hann vildi ekki, eða innra sem helmingur biðlara hafnar.

Skírteinið sannar nafnið; VPN-ið og innri DNS veita leiðina.

Tvær leiðir að traustu nafni

Opinber útgefandi með DNS-01 staðfestingu sannar stjórn á nafni með TXT-færslu í svæði sem þú stjórnar, þannig að vefþjónustan þarf aldrei að taka við opinberri HTTP-tengingu. Einkarekið CA gefur út blaðskírteini fyrir innri nöfn og dreifir traustsakkeri sínu í gegnum stýringu tækja, þannig að enginn opinber annáll lærir nafnið. Báðar eru lögmætar og valið leiðir af þessum þremur skilyrðum en ekki þægindum. Önnur leiðin gefur hvorki leiðina né færslu í leysinum sem biðlari þarf.

Opinbert skírteini birtir einnig hostnafnið í annálum um gagnsæi skírteina. Ef nafnið sjálft er viðkvæmt er sú birting hönnunarákvörðun en ekki aukaverkun sem uppgötvast síðar.

DNS-01 án þess að afhjúpa þjónustuna

Áskorunarfærslan er TXT-færsla undir fráteknu forskeyti í svæðinu og útgefandinn les hana úr valdaberandi DNS. Veldu ACME-biðlara og DNS-samþættingu sem geta búið til og fjarlægt þá færslu og heimilaðu uppfærsluna þröngt: afmarkað API-skírteini fyrir svæðið eða stýrt hýsil sem aðeins er notað við staðfestingu. Að gefa forritamiðlaram skilyrðislaus skírteini skráningaraðila til að endurnýja eitt skírteini er miklu meira umboð en verkefnið krefst. Þegar nokkrar pantanir deila nafni skaltu halda TXT-gildum þeirra aðskildum svo hreinsun eins fjarlægi ekki gildi sem önnur þarf enn.

Bíddu eftir útbreiðslu með athugun á móti valdaberandi þjónum í stað fastrar biðtíma. Útbreiðsluhegðun er háð þjónustuveitanda og biðtími sem virkar í dag er ekki sönnun um morgundaginn.

Stýrðir biðlarar og viljandi einkanleg nöfn

Stýrð tæki og viljandi einkanleg nöfn henta einkareknu CA vel. Dreifðu trausta útgefandanum í gegnum stýringu tækja og gefðu síðan út blaðskírteini fyrir fyrirhuguðu nöfnin. Athugaðu hvaða geymslu hver biðlari notar í raun, því ein innflutningur í stýrikerfi er ekki almenn fullyrðing um hvern vafra og forrit. Blaðfesting er annar valkostur þar sem hún er sérstaklega studd, á kostnað enn einnar traustuppfærslu í hvert sinn sem blaðið breytist.

Dreifingarleiðin skiptir jafn miklu máli og lykillinn: rót sem enginn setur upp verndar ekkert.

Endurnýjun er hluti af hönnuninni

Hvaða leið sem þú velur þarf endurnýjun eiganda og ferli. Að endurnýja sönnun staðfestingarinnar, setja upp nýja efnið og endurhlaða hlustandann í gegnum studda aðferð hans eru þrjú aðskilin skref, og aðeins fyrsta skrefið er sjálfvirkt hjá flestum ACME-biðlurum. Skírteini sem endurnýjast rétt en er aldrei hlaðið inn veldur sama stöðvun og það sem er útrunnið.

Skírteinið setur ekki upp VPN-leiðina og býr ekki til innri DNS-færsluna. Biðlarar þurfa enn leysi sem varpar nafninu á einkaaðilið og leið til að komast þangað. Prófaðu vefinn eftir nafni frá biðlara sem hefur bæði.

Skráðu útgefandann, staðfestingaraðferðina, dreifingarleið trausts og endurhleðsluaðferðina. Þessi fjögur eru endurnýjunaráætlunin.