E Certificat fir eng Säit nëmme iwwer VPN: DNS-01 oder eng privat CA?

Dräi Konditiounen entscheeden, wéi eng Säit, déi nëmmen iwwer VPN erreechbar ass, hire Certificat soll kréien: ob Dir eng ëffentlech DNS-Zon kontrolléiert, ob den Hostnumm a ëffentleche Logge ka stoen, an ob all Client e private Vertrauensanker ka kréien. Déi ëffentlech an déi privat Streck ginn allebéid e funktionéierende Schlass a si beäntweren ënnerschiddlech Froen. Eng dovun ze wielen, ouni déi Konditiounen ze klären, ass de Wee, wéi eng Säit mat engem ëffentleche Certificat ophalen, deen si net wollt, oder mat engem internen, deen d’Halschent vun de Clienten ofleet.

Den Certificat beweist den Numm; d’VPN an den internen DNS liwweren de Wee.

Zwee Weeër zu engem vertrauten Numm

En ëffentlechen Aussteller mat DNS-01-Validéierung beweist d’Kontroll iwwer en Numm duerch eng TXT-Aufzeechnung an enger Zon, déi Dir kontrolléiert, sou datt de Webservice ni eng ëffentlech HTTP-Verbindung muss akzeptéieren. Eng privat CA stellt Blatcertificaten fir intern Nimm aus a verdeelt hire Vertrauensanker iwwer d’Apparateverwaltung, sou datt keen ëffentleche Log den Numm erfaasst. Béid si legitim, an d’Wal kënnt aus deenen dräi Konditiounen an net aus der Béquemlechkeet. Keng vun de Sträich liwwert d’Streck oder den Resolver-Agang, deen e Client brauch.

En ëffentlechen Certificat publizéiert och den Hostnumm an de Certificat-Transparenzloggen. Wann den Numm selwer sensibel ass, ass déi Offenleeung eng Designentscheedung an net eng Niewewierkung, déi Dir méi spéit entdeckt.

DNS-01 ouni de Service ze exponéieren

D’Challenge-Aufzeechnung ass en TXT-Agang ënner engem reservéierte Prefix an der Zon, an den Aussteller liest se aus dem autoritative DNS. Wielt en ACME-Client an eng DNS-Integratioun, déi Aufzeechnung kënnen uleeën an ewechhuelen, a bevollmächtegt d’Aktualiséierung schmuel: eng ageschränkt API-Identitéit fir d’Zon oder en kontrolléierten Host, deen nëmme fir d’Validéierung benotzt gëtt. Dem Applikatiounsserver eng onbegränzt Registrator-Identitéit ze ginn, fir een Certificat z’erneieren, ass vill méi Autoritéit wéi d’Aufgab verlaangt. Wann e puer Bestellungen een Numm deelen, haalt hir TXT-Wäerter getrennt, sou datt d’Botzen vun enger keen Wäert ewechhëlt, deen déi aner nach brauch.

Waart op d’Verbreedung mat enger Kontroll géint déi autoritativ Serveren amplaz vun enger fixer Paus. D’Verbreedungsverhalen hänkt vum Ubider of, an eng Paus, déi haut funktionéiert, ass keen Beweis fir muer.

Géréiert Clienten an absichtlech privat Nimm

Géréiert Apparater an absichtlech privat Nimm passen gutt zu enger interner CA. Verdeelt den vertrauten Aussteller iwwer d’Apparateverwaltung, an stellt duerno Blatcertificaten fir déi virgesinn Nimm aus. Kontrolléiert, wéiee Späicher all Client tatsächlech benotzt, well een Import am Betribssystem keng allgemeng Ausso iwwer all Browser an Applikatioun ass. D’Blatfixéierung ass eng aner Optioun, wou se ausdrécklech ënnerstëtzt gëtt, op Käschte vun nach enger Vertrauensaktualiséierung all Kéier, wann d’Blat sech ännert.

De Verdeelungskanal ass esou wichteg wéi de Schlëssel: eng Wuerzel, déi keen installéiert, schützt näischt.

D’Erneierung ass Deel vum Design

Wéi eng Streck Dir och wielt, d’Erneierung brauch en Eegentemer an eng Prozedur. D’Validéierungsbeweis erneieren, dat neit Material installéieren an de Lauschterer iwwer säi ënnerstëtzte Mechanismus nei lueden sinn dräi getrennt Schrëtt, an nëmmen dat éischt gëtt vun de meeschten ACME-Cliente automatiséiert. En Certificat, deen richteg ernéiert, awer ni gelueden gëtt, verursaacht déiselwecht Ënnerbriechung wéi en ofgelaafenen.

Den Certificat installéiert d’VPN-Streck net an et mécht den internen DNS-Agang net. D’Clienten brauchen nach ëmmer en Resolver, deen den Numm op déi privat Adress mappt, an eng Streck, fir dohinner ze kommen. Test d’Säit um Numm vun engem Client, deen allebéid huet.

Notéiert den Aussteller, d’Validéierungsmethod, de Vertrauensverdeelungskanal an den Nei-Luedmechanismus. Déi véier sinn den Erneierungsplang.