HTTPS до приватна IP: идентитет на сертификатот или име на домаќин?

Вашата услуга на https://10.60.0.25 може да има автентифициран TLS дури и без DNS име. Адресата е идентитетот што клиентот мора да го валидира, а сертификатот мора точно да го опише. Одлуката е дали таа адреса е доволно стабилна за да биде идентитет или името на домаќин би било полесно за одржување. VPN одговара на достапноста; не одговара на ова.

Поставете ги идентитетот и довербата правилно и URL заснован на IP е легитимен дизајн.

Што всушност валидира клиентот

Клиентот го споредува референтниот идентитет во URL со алтернативните имиња на субјектот во сертификатот. За IP адреса тоа значи запис iPAddress еднаков на адресата. Пријателското заедничко име не е замена.

RFC 9525 ги одвојува идентитетите на IP адресите од DNS имињата и го дефинира правилото за совпаѓање. Ако адресата се наведе само во ознаката на субјектот или како запис од тип DNS, не се добива совпаѓање. Затоа SAN е полето што треба да се провери кога ќе се појави предупредување.

Довербата е втора, независна проверка. Совпаѓањето на име не поправа недоверлив синџир, истечен сертификат или сертификат издаден за друга намена.

Одлука прва: дали адресата е доволно стабилна за да биде идентитет

Ако адресата е фиксна за целиот животен век на распоредувањето, IP SAN сертификатот е едноставен и искрен. Ако услугата може да се премести, секое преместување станува замена на сертификат и координирано ажурирање на клиентите.

Стабилното име на домаќин ја намалува таа поврзаност. Клиентите го користат името, одобрениот DNS го мапира на тековната адреса, и промената на адресата престанува да биде промена на идентитет. Сертификатот сѐ уште треба да се обнови, но URL не се менува.

Управуван запис во датотеката hosts може да го обезбеди мапирањето во мала околина. Тоа додава одговорност за дистрибуција; не ја заменува TLS проверката.

Одлука втора: како клиентот ќе му верува на издавачот

За приватен CA, дистрибуирајте го сидрото на доверба до предвидените уреди преку одобрен механизам. Не учете ги корисниците да преминуваат низ предупредувања или да инсталираат сертификат што им го дава страница за најава. Ако сакате јавно доверлив сертификат, проверете ги тековните правила на издавачот за приватни адреси пред да планирате околу нив. Повеќето јавни издавачи нема да валидираат приватна IP како јавна идентитет.

Прегледајте го вистинскиот прелистувач или апликација. Неговото складиште на доверба и однесувањето при валидација се поважни од општата документација на оперативниот систем за сертификати. Проверете го на вистинскиот уред, не само во конзолата.

VPN портата можеби не е машината што ја извршува веб-апликацијата, затоа не претпоставувајте дека сертификатот на тунелот има нешто заедничко со овој.

Планирајте ја промената на адресата пред да се случи

Ако 10.60.0.25 стане 10.60.0.40, стариот сертификат веќе не ја опишува URL. Планирајте ги замената и ажурирањето на клиентот заедно и никогаш не исклучувајте валидација за време на преместувањето.

Изберете го идентитетот што корисниците ќе го пишуваат или апликациите ќе го конфигурираат, потоа усогласете ги издавањето, довербата, распоредувањето и обновувањето околу него. Достапна страница со отфрлено предупредување не е истиот резултат како услуга чиј идентитет клиентот го валидира.