Sertifikāts vietnei, kas pieejama tikai caur VPN: DNS-01 vai privāts CA?

Trīs nosacījumi nosaka, kā vietnei, kas pieejama tikai caur VPN, būtu jāiegūst savs sertifikāts: vai jūs pārvaldāt publisku DNS zonu, vai resursdatora nosaukums drīkst parādīties publiskos žurnālos un vai katram klientam var dot privātu uzticēšanās enkuru. Gan publiskais, gan privātais ceļš rada strādājošu slēdzeni, un tie atbild uz dažādiem jautājumiem. Izvēlēties vienu, neatrisinot šos nosacījumus, ir veids, kā vietne iegūst publisku sertifikātu, ko tā negribēja, vai iekšēju, ko atmet puse klientu.

Sertifikāts pierāda nosaukumu; VPN un iekšējais DNS nodrošina ceļu.

Divi ceļi uz uzticamu nosaukumu

Publisks izdevējs ar DNS-01 validāciju pierāda nosaukuma kontroli ar TXT ierakstu jūsu pārvaldītā zonā, tāpēc tīmekļa pakalpojumam nekad nav jāpieņem publisks HTTP savienojums. Privāts CA izdod lapu sertifikātus iekšējiem nosaukumiem un izplata savu uzticēšanās enkuru ar ierīču pārvaldību, tāpēc neviens publisks žurnāls neuzzina nosaukumu. Abi ir likumīgi, un izvēle izriet no šiem trim nosacījumiem, nevis no ērtībām. Neviens ceļš nenodrošina maršrutu vai atrisinātāja ierakstu, kas klientam vajadzīgs.

Publisks sertifikāts arī publicē resursdatora nosaukumu sertifikātu caurspīdības žurnālos. Ja pats nosaukums ir sensitīvs, šī atklāšana ir dizaina lēmums, nevis blakusefekts, ko atklāsiet vēlāk.

DNS-01, neatklājot pakalpojumu

Izaicinājuma ieraksts ir TXT ieraksts zem rezervēta prefiksa zonā, un izdevējs to nolasa no autoritatīvā DNS. Izvēlieties ACME klientu un DNS integrāciju, kas var izveidot un noņemt šo ierakstu, un piešķiriet atjauninājumam šauras pilnvaras: ierobežotas API akreditācijas datus zonei vai kontrolētu resursdatoru, ko izmanto tikai validācijai. Dot aplikācijas serverim neierobežotus reģistrētāja akreditācijas datus viena sertifikāta atjaunināšanai ir daudz vairāk pilnvaru, nekā uzdevumam nepieciešams. Kad vairāki pasūtījumi dala nosaukumu, turiet to TXT vērtības atsevišķi, lai viena tīrīšana neizdzēstu vērtību, kas citam vēl vajadzīga.

Gaidiet izplatīšanos ar pārbaudi pret autoritatīvajiem serveriem, nevis ar fiksētu gaidīšanu. Izplatīšanās uzvedība ir atkarīga no pakalpojumu sniedzēja, un šodien strādājoša gaidīšana nav pierādījums par rītdienu.

Pārvaldīti klienti un apzināti privāti nosaukumi

Pārvaldītas ierīces un apzināti privāti nosaukumi labi atbilst iekšējam CA. Izplatiet uzticamo izdevēju ar ierīču pārvaldību, pēc tam izdodiet lapu sertifikātus paredzētajiem nosaukumiem. Pārbaudiet, kuru glabātuvi katrs klients faktiski izmanto, jo viens imports operētājsistēmā nav universāls apgalvojums par katru pārlūku un lietojumprogrammu. Lapas piespraušana ir vēl viena iespēja tur, kur tā ir skaidri atbalstīta, par cenu vēl vienam uzticēšanās atjauninājumam ikreiz, kad lapa mainās.

Izplatīšanas kanāls ir tikpat svarīgs kā atslēga: sakne, ko neviens neinstalē, neko neaizsargā.

Atjaunināšana ir daļa no dizaina

Lai kuru ceļu jūs izvēlētos, atjaunināšanai vajag īpašnieku un procedūru. Validācijas pierādījuma atjaunošana, jaunā materiāla instalēšana un klausītāja pārlāde ar tā atbalstīto mehānismu ir trīs atsevišķi soļi, un tikai pirmo automatizē lielākā daļa ACME klientu. Sertifikāts, kas atjauninās pareizi, bet nekad netiek ielādēts, rada tādu pašu pārtraukumu kā tāds, kam beidzies derīgums.

Sertifikāts neinstalē VPN maršrutu un neizveido iekšējo DNS ierakstu. Klientiem joprojām vajag atrisinātāju, kas nosaukumu saista ar privāto adresi, un maršrutu, lai tur nokļūtu. Pārbaudiet vietni pēc nosaukuma no klienta, kuram ir abi.

Pierakstiet izdevēju, validācijas metodi, uzticēšanās izplatīšanas kanālu un pārlādes mehānismu. Šie četri ir atjaunināšanas plāns.