მხოლოდ VPN-ის მეშვეობით ხელმისაწვდომი საიტის სერტიფიკატი: DNS-01 თუ კერძო CA?

სამი პირობა განსაზღვრავს, როგორ უნდა მიიღოს მხოლოდ VPN-ით ხელმისაწვდომმა საიტმა თავისი სერტიფიკატი: აკონტროლებთ თუ არა საჯარო DNS ზონას, შეიძლება თუ არა ჰოსტის სახელი საჯარო ჟურნალებში გამოჩნდეს და შეიძლება თუ არა თითოეულ კლიენტს მიეცეს კერძო ნდობის საყრდენი. საჯარო და კერძო გზა ორივე მუშა საკეტს ქმნის და ისინი სხვადასხვა კითხვას პასუხობენ. ერთის არჩევა ამ პირობების გადაწყვეტის გარეშე ის გზაა, რომლითაც საიტი იმ საჯარო სერტიფიკატით სრულდება, რომელიც არ უნდოდა, ან შიდა სერტიფიკატით, რომელსაც კლიენტების ნახევარი უარყოფს.

სერტიფიკატი ამტკიცებს სახელს; VPN და შიდა DNS უზრუნველყოფენ გზას.

ორი გზა სანდო სახელისკენ

საჯარო გამომცემელი DNS-01 ვალიდაციით ამტკიცებს სახელზე კონტროლს თქვენს მიერ კონტროლირებად ზონაში TXT ჩანაწერის მეშვეობით, ამიტომ ვებ სერვისს არასდროს უწევს საჯარო HTTP კავშირის მიღება. კერძო CA გასცემს ფოთლის სერტიფიკატებს შიდა სახელებისთვის და ანაწილებს თავის ნდობის საყრდენს მოწყობილობების მართვის გზით, ამიტომ არცერთი საჯარო ჟურნალი ვერ გაიგებს სახელს. ორივე ლეგიტიმურია და არჩევანი ამ სამი პირობიდან გამომდინარეობს და არა მოხერხებულობიდან. არც ერთი გზა არ იძლევა იმ მარშრუტს ან რეზოლვერის ჩანაწერს, რომელიც კლიენტს სჭირდება.

საჯარო სერტიფიკატი ასევე აქვეყნებს ჰოსტის სახელს სერტიფიკატების გამჭვირვალობის ჟურნალებში. თუ თავად სახელი მგრძნობიარეა, ეს გამჟღავნება დიზაინის გადაწყვეტილებაა და არა გვერდითი ეფექტი, რომელსაც მოგვიანებით აღმოაჩენთ.

DNS-01 სერვისის გამოვლენის გარეშე

გამოწვევის ჩანაწერი არის TXT ჩანაწერი ზონაში დაცული პრეფიქსის ქვეშ და გამომცემელი მას ავტორიტეტული DNS-იდან კითხულობს. შეარჩიეთ ACME კლიენტი და DNS ინტეგრაცია, რომლებსაც შეუძლიათ ამ ჩანაწერის შექმნა და წაშლა, და განსაზღვრეთ განახლების უფლებამოსილება ვიწროდ: ზონისთვის შეზღუდული API სერტიფიკატი, ან კონტროლირებადი ჰოსტი, რომელიც მხოლოდ ვალიდაციისთვის გამოიყენება. აპლიკაციის სერვერზე შეუზღუდავი რეგისტრატორის სერტიფიკატის მიცემა ერთი სერტიფიკატის გასაახლებლად გაცილებით მეტი უფლებაა, ვიდრე დავალებას სჭირდება. როცა რამდენიმე შეკვეთა იზიარებს სახელს, შეინახეთ მათი TXT მნიშვნელობები ცალკე, რათა ერთის გასუფთავებამ არ წაშალოს მნიშვნელობა, რომელიც სხვას ჯერ კიდევ სჭირდება.

დაელოდეთ გავრცელებას ავტორიტეტული სერვერების შემოწმებით და არა ფიქსირებული ლოდინით. გავრცელების ქცევა პროვაიდერზეა დამოკიდებული და დღეს მომუშავე ლოდინი ხვალის შესახებ მტკიცებულება არ არის.

მართული კლიენტები და განზრახ კერძო სახელები

მართული მოწყობილობები და განზრახ კერძო სახელები კარგად ერგება შიდა CA-ს. გაანაწილეთ სანდო გამომცემელი მოწყობილობების მართვის გზით, შემდეგ გასცეთ ფოთლის სერტიფიკატები განსაზღვრული სახელებისთვის. შეამოწმეთ, რომელ საცავს იყენებს რეალურად თითოეული კლიენტი, რადგან ოპერაციულ სისტემაში ერთი იმპორტი არ არის უნივერსალური მტკიცება ყველა ბრაუზერზე და აპლიკაციაზე. ფოთლის ჩამაგრება კიდევ ერთი ვარიანტია იქ, სადაც ის ცალსახად მხარდაჭერილია, კიდევ ერთი ნდობის განახლების ფასად, ყოველ ჯერზე როცა ფოთოლი იცვლება.

განაწილების არხი ისეთივე მნიშვნელოვანია, როგორც გასაღები: ფესვი, რომელსაც არავინ აყენებს, არაფერს იცავს.

განახლება დიზაინის ნაწილია

რომელი გზაც არ უნდა აირჩიოთ, განახლებას სჭირდება მფლობელი და პროცედურა. ვალიდაციის მტკიცებულების განახლება, ახალი მასალის დაყენება და მსმენელის ხელახლა ჩატვირთვა მისი მხარდაჭერილი მექანიზმით სამი ცალკე ნაბიჯია და მხოლოდ პირველს ავტომატიზირებს ACME კლიენტების უმეტესობა. სერტიფიკატი, რომელიც სწორად განახლდება, მაგრამ არასდროს იტვირთება, იგივე შეწყვეტას იწვევს, რასაც ვადაგასული.

სერტიფიკატი არ აყენებს VPN მარშრუტს და არ ქმნის შიდა DNS ჩანაწერს. კლიენტებს მაინც სჭირდებათ რეზოლვერი, რომელიც სახელს კერძო მისამართზე ასახავს, და მარშრუტი იქ მისასვლელად. გამოსცადეთ საიტი სახელით კლიენტიდან, რომელსაც ორივე აქვს.

ჩაწერეთ გამომცემელი, ვალიდაციის მეთოდი, ნდობის განაწილების არხი და ხელახლა ჩატვირთვის მექანიზმი. ეს ოთხი არის განახლების გეგმა.