Тек VPN арқылы ғана қолжетімді сайт сертификаты: DNS-01 әлде жеке CA ма?

Тек VPN арқылы ғана қолжетімді сайт сертификатын қалай алуы керегін үш шарт анықтайды: ашық DNS аймағын басқарасыз ба, хост атауы ашық журналдарда көріне ала ма және әрбір клиентке жеке сенім тірегін беруге бола ма. Ашық және жеке жолдың екеуі де жұмыс істейтін құлып жасайды және олар әртүрлі сұрақтарға жауап береді. Осы шарттарды шешпей біреуін таңдау — сайттың өзі қаламаған ашық сертификатпен немесе клиенттердің жартысы қабылдамайтын ішкі сертификатпен қалуының жолы.

Сертификат атауды дәлелдейді; VPN мен ішкі DNS жолды береді.

Сенімді атауға екі жол

DNS-01 тексеруімен ашық эмитент атауға бақылауды өзіңіз басқаратын аймақтағы TXT жазбасы арқылы дәлелдейді, сондықтан веб-қызметке ешқашан ашық HTTP қосылымын қабылдауға тура келмейді. Жеке CA ішкі атаулар үшін жапырақ сертификаттарын шығарады және өзінің сенім тірегін құрылғыларды басқару арқылы таратады, сондықтан ешбір ашық журнал атауды білмейді. Екеуі де заңды және таңдау қолайлылықтан емес, сол үш шарттан туындайды. Ешбір жол клиентке қажет маршрутты немесе шешуші жазбасын бермейді.

Ашық сертификат хост атауын сертификат мөлдірлігі журналдарында да жариялайды. Егер атаудың өзі құпия болса, бұл ашылу кейін анықталатын жанама әсер емес, дизайн шешімі.

Қызметті ашпай-ақ DNS-01

Шақыру жазбасы — аймақтағы резервтелген префикс астындағы TXT жазбасы, ал эмитент оны өкілетті DNS-тен оқиды. Сол жазбаны құрып, жоя алатын ACME клиенті мен DNS интеграциясын таңдап, жаңартуға тар өкілеттік беріңіз: аймақ үшін шектеулі API тіркелгі деректері немесе тек тексеру үшін пайдаланылатын басқарылатын хост. Бір сертификатты жаңарту үшін қолданба серверіне шектеусіз тіркеуші тіркелгі деректерін беру — тапсырмаға қажет өкілеттіктен әлдеқайда көп. Бірнеше тапсырыс бір атауды бөліскенде, TXT мәндерін бөлек ұстаңыз, сонда біреуін тазалау екіншісіне әлі қажет мәнді жоймайды.

Тіркелген күту орнына өкілетті серверлерге қарсы тексеру арқылы таралуды күтіңіз. Таралу мінезі провайдерге байланысты, ал бүгін жұмыс істейтін күту ертең туралы дәлел емес.

Басқарылатын клиенттер және әдейі жеке атаулар

Басқарылатын құрылғылар мен әдейі жеке атаулар ішкі CA-ға жақсы сәйкеседі. Сенімді эмитентті құрылғыларды басқару арқылы таратып, содан кейін көзделген атаулар үшін жапырақ сертификаттарын шығарыңыз. Әр клиент шын мәнінде қай қойманы пайдаланатынын тексеріңіз, өйткені операциялық жүйеге бір импорт әрбір браузер мен қолданба туралы әмбебап мәлімдеме емес. Жапырақты бекіту — айқын қолдау көрсетілген жерде тағы бір нұсқа, бірақ жапырақ өзгерген сайын тағы бір сенім жаңартуының құнымен.

Тарату арнасы кілт сияқты маңызды: ешкім орнатпайтын тамыр ешнәрсені қорғамайды.

Жаңарту дизайнның бөлігі

Қай жолды таңдасаңыз да, жаңартуға иесі мен рәсімі қажет. Тексеру дәлелін жаңарту, жаңа материалды орнату және тыңдаушыны оның қолдау көрсетілген механизмі арқылы қайта жүктеу — үш бөлек қадам, ал тек біріншісін ACME клиенттерінің көпшілігі автоматтандырады. Дұрыс жаңаратын, бірақ ешқашан жүктелмейтін сертификат мерзімі өткен сертификатпен бірдей үзіліс тудырады.

Сертификат VPN маршрутын орнатпайды және ішкі DNS жазбасын жасамайды. Клиенттерге әлі де атауды жеке мекенжайға сәйкестендіретін шешуші және оған жету үшін маршрут қажет. Сайтты екеуі де бар клиенттен атауы бойынша тексеріңіз.

Эмитентті, тексеру әдісін, сенімді тарату арнасын және қайта жүктеу механизмін жазыңыз. Сол төртеуі жаңарту жоспары.