HTTPS uz privātu IP: sertifikāta identitāte vai resursdatora nosaukums?
Privāts IP var būt derīga TLS identitāte, ja sertifikāts to norāda. Izvēlieties starp IP SAN un stabilu resursdatora nosaukumu, pēc tam plānojiet adreses maiņu.
Jūsu pakalpojums vietnē https://10.60.0.25 var būt ar autentificētu TLS pat bez DNS nosaukuma. Adrese ir identitāte, kas klientam jāvalidē, un sertifikātam tā precīzi jāapraksta. Lēmums ir, vai šī adrese ir pietiekami stabila, lai būtu identitāte, vai resursdatora nosaukums būtu vieglāk uzturams. VPN atbild uz sasniedzamību; uz to tas neatbild.
Ja identitāte un uzticēšanās ir kārtībā, uz IP balstīts URL ir likumīgs risinājums.
Ko klients faktiski validē
Klients salīdzina URL norādīto atsauces identitāti ar sertifikāta alternatīvajiem subjekta nosaukumiem. IP adresei tas nozīmē iPAddress ierakstu, kas vienāds ar adresi. Draudzīgs vispārējs nosaukums to neaizstāj.
RFC 9525 atdala IP adrešu identitātes no DNS nosaukumiem un definē atbilstības noteikumu. Ja adrese ir norādīta tikai subjekta etiķetē vai kā DNS tipa ieraksts, atbilstība nerodas. Tāpēc SAN ir tas lauks, kas jāpārbauda, kad parādās brīdinājums.
Uzticēšanās ir otra, neatkarīga pārbaude. Nosaukuma atbilstība neizlabo neuzticamu ķēdi, beigušos sertifikātu vai citam mērķim izsniegtu sertifikātu.
Pirmais lēmums: vai adrese ir pietiekami stabila, lai būtu identitāte
Ja adrese ir fiksēta visā izvietošanas laikā, IP SAN sertifikāts ir vienkāršs un godīgs. Ja pakalpojums var pārvietoties, katra pārvietošanās kļūst par sertifikāta nomaiņu un saskaņotu klientu atjaunināšanu.
Stabils resursdatora nosaukums samazina šo saikni. Klienti izmanto nosaukumu, apstiprinātais DNS to kartē uz pašreizējo adresi, un adreses maiņa pārstāj būt identitātes maiņa. Sertifikāts joprojām ir jāatjauno, bet URL nemainās.
Pārvaldīts hosts faila ieraksts var nodrošināt kartējumu mazā vidē. Tas pievieno izplatīšanas atbildību; tas neaizstāj TLS pārbaudi.
Otrais lēmums: kā klients uzticēsies izdevējam
Privātam CA izplatiet uzticēšanās enkuru paredzētajām ierīcēm ar apstiprinātu mehānismu. Nemāciet lietotājiem apiet brīdinājumus vai instalēt sertifikātu, ko viņiem dod pieteikšanās lapa. Ja vēlaties publiski uzticamu sertifikātu, pirms plānošanas pārbaudiet izdevēja pašreizējos noteikumus privātām adresēm. Lielākā daļa publisko izdevēju nevalidēs privātu IP kā publisku identitāti.
Pārskatiet faktisko pārlūku vai lietojumprogrammu. Tās uzticēšanās krātuve un validēšanas uzvedība ir svarīgāka par operētājsistēmas vispārīgo sertifikātu dokumentāciju. Pārbaudiet to faktiskajā ierīcē, ne tikai konsolē.
VPN vārteja var nebūt tā iekārta, kas izpilda tīmekļa lietojumprogrammu, tāpēc nepieņemiet, ka tuneļa sertifikātam ar šo ir kaut kas kopīgs.
Plānojiet adreses maiņu pirms tā notiek
Ja 10.60.0.25 kļūst par 10.60.0.40, vecais sertifikāts vairs neapraksta URL. Plānojiet nomaiņu un klienta atjaunināšanu kopā un nekad neizslēdziet validēšanu pārvietošanas laikā.
Izvēlieties identitāti, ko lietotāji ievadīs vai lietojumprogrammas konfigurēs, pēc tam ap to saskaņojiet izsniegšanu, uzticēšanos, izvietošanu un atjaunināšanu. Sasniedzama lapa ar noraidītu brīdinājumu nav tāds pats rezultāts kā pakalpojums, kura identitāti klients validē.