HTTPS op eng privat IP: Zertifikatsidentitéit oder Hostnumm?
Eng privat IP kann eng gülteg TLS-Identitéit sinn, wann den Zertifikat dat seet. Wielt tëschent enger IP SAN an engem stabile Hostnumm, a plangt duerno d'Adressännerung.
Ären Déngscht op https://10.60.0.25 kann authentifizéierten TLS hunn och ouni DNS-Numm. D'Adress ass d'Identitéit, déi de Client muss validéieren, an den Zertifikat muss se exakt beschreiwen. D'Entscheedung ass, ob d'Adress stabil genuch ass fir eng Identitéit, oder ob en Hostnumm méi einfach ze ënnerhalen wier. D'VPN äntwert op d'Erreechbarkeet; et äntwert net op dëst.
Kritt d'Identitéit an d'Vertrauen richteg, an eng IP-baséiert URL ass e legitime Konzept.
Wat de Client tatsächlech validéiert
De Client vergläicht d'Referenzidentitéit an der URL mat den alternativen Nimm vum Sujet vum Zertifikat. Fir eng IP-Adress heescht dat en iPAddress-Antrag gläich wéi d'Adress. En frëndlechen allgemengen Numm ass keen Ersatz.
RFC 9525 trennt IP-Adressidentitéiten vun DNS-Nimm a definéiert d'Passungsregel. D'Adress nëmmen am Sujet-Label oder als Antrag vum Typ DNS ze setzen, bréngt keng Passung. Dofir ass d'SAN dat Feld, dat iwwerpréift muss ginn, wann eng Warnung erschéngt.
Vertrauen ass eng zweet, onofhängeg Kontroll. Eng Numm-passung reparéiert keng net-vertrauenswürdeg Kette, kee ofgelafenen Zertifikat an kee Zertifikat, dee fir en aneren Zweck ausgestallt gouf.
Entscheedung éischt: ass d'Adress stabil genuch fir eng Identitéit
Wann d'Adress fir d'ganzt Liewen vum Asaz fest ass, ass en IP SAN-Zertifikat einfach an éierlech. Wann den Déngscht ka plënneren, gëtt all Plënneren eng Zertifikatsersetzung an eng koordinéiert Client-Aktualiséierung.
En stabile Hostnumm reduzéiert dës Kopplung. D'Clienten benotzen den Numm, approuvéierten DNS mappt en op déi aktuell Adress, an eng Adressännerung ass keng Identitéitsännerung méi. Den Zertifikat muss nach erneiert ginn, awer d'URL ännert sech net.
En administréierten hosts-Datei-Antrag kann d'Mapping an enger klenger Ëmwelt liwweren. Et bäisetzt eng Verdeelungsverantwortung; et ersetzt d'TLS-Verifikatioun net.
Entscheedung zweet: wéi de Client dem Aussteller vertraut
Fir eng privat CA verdeelt den Vertrauensanker iwwer en approuvéierte Mechanismus un déi virgesinn Apparater. Léiert d'Benotzer net, Warnungen z'iwwergoen oder en Zertifikat z'installéieren, deen hinnen eng Umeldungsseite gëtt. Wann Dir en ëffentlech vertraute Zertifikat wëllt, kuckt d'aktuell Regele vum Aussteller fir privat Adressen, ier Dir drop plangt. Déi meescht ëffentlech Aussteller validéieren eng privat IP net als ëffentlech Identitéit.
Kuckt de richtege Browser oder d'Applikatioun. Seng Vertrauensspäicher an säi Validéierungsverhalen si wichteger wéi d'allgemeng Zertifikatsdokumentatioun vum Betribssystem. Kontrolléiert et um richtege Gerät, net nëmmen an der Konsole.
De VPN-Gateway ass vläicht net d'Maschinn, déi d'Webapplikatioun ausféiert, dofir gitt net dovun aus, datt den Zertifikat vum Tunnel eppes domat ze dinn huet.
Plangt d'Adressännerung, ier se geschitt
Wann aus 10.60.0.25 10.60.0.40 gëtt, beschreift den ale Zertifikat d'URL net méi. Plangt d'Ersetzung an d'Client-Aktualiséierung zesummen, a schalt d'Verifikatioun wärend dem Plënneren ni aus.
Wielt d'Identitéit, déi d'Benotzer tippen oder d'Applikatiounen konfiguréieren, a riicht duerno Ausstellung, Vertrauen, Asaz an Erneierung dorëm aus. Eng erreechbar Säit mam ofgeleente Warnung ass net datselwecht Resultat wéi en Déngscht, deem seng Identitéit de Client validéiert.