Sertifikatas tik per VPN pasiekiamai svetainei: DNS-01 ar privati CA?

Trys sąlygos nulemia, kaip tik per VPN pasiekiama svetainė turėtų gauti savo sertifikatą: ar valdote viešą DNS zoną, ar prieglobos vardas gali būti rodomas viešuose žurnaluose ir ar kiekvienam klientui galima suteikti privatų pasitikėjimo inkarą. Viešasis ir privatusis keliai abu sukuria veikiantį spyną ir atsako į skirtingus klausimus. Pasirinkti vieną neišsprendus šių sąlygų yra būdas, kuriuo svetainė gauna viešą sertifikatą, kurio nenorėjo, arba vidinį, kurį atmeta pusė klientų.

Sertifikatas įrodo vardą; VPN ir vidinis DNS suteikia kelią.

Du keliai į patikimą vardą

Viešas išdavėjas su DNS-01 tikrinimu įrodo vardo kontrolę per TXT įrašą jūsų valdomoje zonoje, todėl žiniatinklio paslauga niekada neturi priimti viešo HTTP ryšio. Privati CA išduoda galinius sertifikatus vidiniams vardams ir platina savo pasitikėjimo inkarą per įrenginių valdymą, todėl joks viešas žurnalas nesužino vardo. Abu yra teisėti, o pasirinkimas kyla iš tų trijų sąlygų, o ne iš patogumo. Nė vienas kelias nesuteikia maršruto arba rezolverio įrašo, kurio reikia klientui.

Viešas sertifikatas taip pat paskelbia prieglobos vardą sertifikatų skaidrumo žurnaluose. Jei pats vardas yra jautrus, tas atskleidimas yra dizaino sprendimas, o ne šalutinis poveikis, kurį atrasite vėliau.

DNS-01 neatskleidžiant paslaugos

Iššūkio įrašas yra TXT įrašas po rezervuotu priešdėliu zonoje, ir išdavėjas jį skaito iš autoritetingo DNS. Pasirinkite ACME klientą ir DNS integraciją, galinčius sukurti ir pašalinti tą įrašą, ir suteikite atnaujinimui siaurus įgaliojimus: ribotus API kredencialus zonai arba valdomą prieglobos serverį, naudojamą tik tikrinimui. Duoti programos serveriui neribotus registro kredencialus vienam sertifikatui atnaujinti yra daug daugiau teisių, nei reikia užduočiai. Kai keli užsakymai dalijasi vardu, laikykite jų TXT reikšmes atskirai, kad vieno valymas nepašalintų reikšmės, kurios dar reikia kitam.

Laukite plitimo su patikrinimu prieš autoritetingus serverius, o ne su fiksuota pertrauka. Plitimo elgsena priklauso nuo tiekėjo, o šiandien veikianti pertrauka nėra įrodymas dėl rytojaus.

Valdomi klientai ir sąmoningai privatūs vardai

Valdomi įrenginiai ir sąmoningai privatūs vardai gerai tinka vidinei CA. Paskirstykite patikimą išdavėją per įrenginių valdymą, tada išduokite galinius sertifikatus numatomiems vardams. Patikrinkite, kurią saugyklą kiekvienas klientas iš tikrųjų naudoja, nes vienas importas operacinėje sistemoje nėra universalus teiginys apie kiekvieną naršyklę ir programą. Galinio sertifikato prisegimas yra dar viena galimybė ten, kur ji aiškiai palaikoma, už dar vieno pasitikėjimo atnaujinimo kainą kiekvieną kartą pasikeitus galiniam sertifikatui.

Platinimo kanalas svarbus tiek pat, kiek raktas: šaknis, kurios niekas neįdiegia, nieko neapsaugo.

Atnaujinimas yra dizaino dalis

Kad ir kokį kelią pasirinktumėte, atnaujinimui reikia savininko ir procedūros. Tikrinimo įrodymo atnaujinimas, naujos medžiagos įdiegimas ir klausytojo perkrovimas per jo palaikomą mechanizmą yra trys atskiri žingsniai, ir tik pirmąjį automatizuoja dauguma ACME klientų. Sertifikatas, kuris atnaujinamas teisingai, bet niekada neįkeliamas, sukelia tą patį sutrikimą kaip pasibaigęs.

Sertifikatas neįdiegia VPN maršruto ir nesukuria vidinio DNS įrašo. Klientams vis dar reikia rezolverio, kuris susieja vardą su privačiu adresu, ir maršruto, kad jį pasiektų. Išbandykite svetainę pagal vardą iš kliento, kuris turi abu.

Užrašykite išdavėją, tikrinimo metodą, pasitikėjimo platinimo kanalą ir perkrovimo mechanizmą. Tie keturi yra atnaujinimo planas.