HTTPS į privatų IP: sertifikato tapatybė ar domeno vardas?
Privatus IP gali būti galiojanti TLS tapatybė, jei sertifikatas taip nurodo. Pasirinkite tarp IP SAN ir stabilaus domeno vardo, tada suplanuokite adreso pakeitimą.
Jūsų paslauga adresu https://10.60.0.25 gali turėti autentifikuotą TLS net be DNS vardo. Adresas yra tapatybė, kurią klientas turi patvirtinti, o sertifikatas turi ją tiksliai aprašyti. Sprendimas yra, ar šis adresas pakankamai stabilus būti tapatybe, ar domeno vardą būtų lengviau prižiūrėti. VPN atsako į pasiekiamumą; į tai neatsako.
Jei tapatybė ir pasitikėjimas sutvarkyti, IP pagrindu sukurtas URL yra teisėtas sprendimas.
Ką klientas iš tikrųjų tikrina
Klientas lygina URL nurodytą atskaitos tapatybę su sertifikato alternatyviaisiais subjekto vardais. IP adresui tai reiškia iPAddress įrašą, lygų adresui. Draugiškas bendrinis vardas jo nepakeičia.
RFC 9525 atskiria IP adresų tapatybes nuo DNS vardų ir apibrėžia atitikimo taisyklę. Jei adresas nurodytas tik subjekto etiketėje arba kaip DNS tipo įrašas, atitikimas neatsiranda. Todėl, kai pasirodo įspėjimas, SAN yra tas laukas, kurį reikia patikrinti.
Pasitikėjimas yra antra, nepriklausoma patikra. Vardo atitikimas neištaiso nepatikimos grandinės, pasibaigusio sertifikato ar kitu tikslu išduoto sertifikato.
Pirmas sprendimas: ar adresas pakankamai stabilus būti tapatybe
Jei adresas fiksuotas visą diegimo laiką, IP SAN sertifikatas yra paprastas ir sąžiningas. Jei paslauga gali judėti, kiekvienas judėjimas tampa sertifikato pakeitimu ir suderintu klientų atnaujinimu.
Stabilus domeno vardas sumažina šį susiejimą. Klientai naudoja vardą, patvirtintas DNS jį susieja su dabartiniu adresu, ir adreso pakeitimas nustoja būti tapatybės pakeitimu. Sertifikatą vis tiek reikia atnaujinti, bet URL nesikeičia.
Tvarkomas hosts failo įrašas gali užtikrinti susiejimą mažoje aplinkoje. Tai prideda platinimo atsakomybę; tai nepakeičia TLS tikrinimo.
Antras sprendimas: kaip klientas pasitikės išdavėju
Privačiam CA paskirstykite pasitikėjimo inkarą numatytiems įrenginiams patvirtintu mechanizmu. Nemokykite naudotojų apeiti įspėjimus ar įdiegti sertifikatą, kurį jiems duoda prisijungimo puslapis. Jei norite viešai patikimo sertifikato, prieš planuodami patikrinkite dabartines išdavėjo taisykles privatiems adresams. Dauguma viešų išdavėjų nepatvirtins privataus IP kaip viešos tapatybės.
Peržiūrėkite tikrąją naršyklę ar programą. Jos patikėjimo saugykla ir tikrinimo elgsena svarbesnė už bendrą operacinės sistemos sertifikatų dokumentaciją. Patikrinkite tai tikrame įrenginyje, ne tik konsolėje.
VPN tarpinė serveris gali būti ne ta mašina, kuri vykdo žiniatinklio programą, todėl nemanote, kad tunelio sertifikatas turi ką nors bendra su šiuo.
Suplanuokite adreso pakeitimą, kol jis neįvyko
Jei 10.60.0.25 taps 10.60.0.40, senas sertifikatas nebepasakoja URL. Suplanuokite pakeitimą ir kliento atnaujinimą kartu ir niekada neišjunkite tikrinimo perkėlimo metu.
Pasirinkite tapatybę, kurią naudotojai įves ar programos sukonfigūruos, tada aplink ją sulygiuokite išdavimą, pasitikėjimą, diegimą ir atnaujinimą. Pasiekiamas puslapis su atmestu įspėjimu nėra toks pat rezultatas kaip paslauga, kurios tapatybę klientas patvirtina.