HTTPS жеке IP-ге: сертификаттың сәйкестігі немесе хост атауы?
Жеке IP сертификат солай көрсетсе, жарамды TLS сәйкестігі бола алады. IP SAN мен тұрақты хост атауының арасынан таңдап, содан кейін мекенжай өзгерісін жоспарлаңыз.
https://10.60.0.25 мекенжайындағы қызметіңіз DNS атауынсыз да аутентификацияланған TLS ұстай алады. Мекенжай — клиент тексеруге тиіс сәйкестік, ал сертификат оны дәл сипаттауы керек. Шешім: бұл мекенжай сәйкестік болуға жеткілікті тұрақты ма, әлде хост атауын күтіп ұстау оңайырақ па. VPN қолжетімділікке жауап береді; бұған жауап бермейді.
Сәйкестік пен сенімді дұрыс орнатсаңыз, IP-ге негізделген URL заңды дизайн болады.
Клиент шын мәнінде нені тексереді
Клиент URL-дегі анықтамалық сәйкестікті сертификаттың балама субъект атауларымен салыстырады. IP мекенжайы үшін бұл мекенжайға тең iPAddress жазбасын білдіреді. Достық жалпы атау оның орнын баспайды.
RFC 9525 IP мекенжайының сәйкестіктерін DNS атауларынан бөледі және сәйкестендіру ережесін анықтайды. Мекенжайды тек субъект белгісінде немесе DNS түріндегі жазба ретінде қою сәйкестік бермейді. Сондықтан ескерту пайда болғанда тексерілетін өріс — SAN.
Сенім — екінші, тәуелсіз тексеру. Атау сәйкестігі сенімсіз тізбекті, мерзімі өткен сертификатты немесе басқа мақсатқа берілген сертификатты түзетпейді.
Бірінші шешім: мекенжай сәйкестік болуға жеткілікті тұрақты ма
Егер мекенжай орналастырудың бүкіл өмірінде бекітілген болса, IP SAN сертификаты қарапайым және адал. Егер қызмет көшуі мүмкін болса, әр көшу сертификатты ауыстыруға және клиентті үйлестіріп жаңартуға айналады.
Тұрақты хост атауы бұл байланысты азайтады. Клиенттер атауды пайдаланады, бекітілген DNS оны ағымдағы мекенжайға сәйкестендіреді, ал мекенжай өзгерісі сәйкестік өзгерісі болудан қалады. Сертификат әлі де жаңартуды қажет етеді, бірақ URL өзгермейді.
Басқарылатын hosts файл жазбасы шағын ортада сәйкестендіруді қамтамасыз ете алады. Ол тарату жауапкершілігін қосады; TLS тексеруін алмастырмайды.
Екінші шешім: клиент эмитентке қалай сенеді
Жеке CA үшін сенім тірегін бекітілген механизм арқылы арналған құрылғыларға таратыңыз. Пайдаланушыларды ескертулерді өткізіп жіберуге немесе кіру беті берген сертификатты орнатуға үйретпеңіз. Егер қоғамдық сенімді сертификат қаласаңыз, жоспарлау алдында эмитенттің жеке мекенжайларға арналған ағымдағы ережелерін тексеріңіз. Көптеген қоғамдық эмитенттер жеке IP-ні қоғамдық сәйкестік ретінде растамайды.
Нақты браузерді немесе қолданбаны қарап шығыңыз. Оның сенім қоймасы мен тексеру әрекеті операциялық жүйенің жалпы сертификат құжаттамасынан маңыздырақ. Оны тек консольде емес, нақты құрылғыда тексеріңіз.
VPN шлюзі веб-қолданбаны іске қосатын машина болмауы мүмкін, сондықтан туннель сертификатының бұған қатысы бар деп ойламаңыз.
Мекенжай өзгерісін ол болмай тұрып жоспарлаңыз
Егер 10.60.0.25 10.60.0.40 болса, ескі сертификат енді URL-ді сипаттамайды. Ауыстыру мен клиентті жаңартуды бірге жоспарлаңыз және көшу кезінде тексеруді ешқашан өшірмеңіз.
Пайдаланушылар теретін немесе қолданбалар конфигурациялайтын сәйкестікті таңдаңыз, содан кейін соның айналасында беруді, сенімді, орналастыруды және жаңартуды үйлестіріңіз. Жабылған ескертумен қолжетімді бет — клиент сәйкестігін тексеретін қызметпен бірдей нәтиже емес.