Сертификат за страница достапна само преку VPN: DNS-01 или приватен CA?

Три услови одлучуваат како страницата достапна само преку VPN треба да го добие својот сертификат: дали контролирате јавна DNS зона, дали името на домаќинот смее да се појави во јавни записи и дали на секој клиент може да му се даде приватно сидро на доверба. Јавниот и приватниот пат и двата даваат катанец што работи и одговараат на различни прашања. Да се избере еден без да се решат тие услови е начинот на кој страницата завршува со јавен сертификат што не го сакала, или со внатрешен што половината клиенти го одбиваат.

Сертификатот го докажува името; VPN и внатрешниот DNS го обезбедуваат патот.

Два пата до доверливо име

Јавен издавач со валидација DNS-01 докажува контрола врз име преку TXT запис во зона што ја контролирате, така што веб-услугата никогаш не мора да прифати јавна HTTP врска. Приватен CA издава листови сертификати за внатрешни имиња и го дистрибуира своето сидро на доверба преку управување со уреди, така што ниту еден јавен запис не го дознава името. Двата се легитимни, а изборот произлегува од тие три услови, а не од удобност. Ниту еден пат не го обезбедува патот или записот во резолверот што му е потребен на клиентот.

Јавниот сертификат исто така го објавува името на домаќинот во записи за транспарентност на сертификати. Ако самото име е чувствително, тоа откривање е дизајнерска одлука, а не несакан ефект што ќе го откриете подоцна.

DNS-01 без да ја изложите услугата

Записот за предизвик е TXT запис под резервиран префикс во зоната, и издавачот го чита од авторитативен DNS. Изберете ACME клиент и DNS интеграција што можат да го создадат и отстранат тој запис и овластете го ажурирањето тесно: ограничени API акредитиви за зоната или контролиран домаќин што се користи само за валидација. Да му се дадат на апликацискиот сервер неограничени регистрарски акредитиви за обновување на еден сертификат е многу повеќе овластување отколку што бара задачата. Кога неколку нарачки делат име, држете ги нивните TXT вредности одвоени за чистењето на едната да не отстрани вредност што на другата ѝ е уште потребна.

Почекајте пропагација со проверка против авторитативните сервери наместо со фиксно чекање. Однесувањето на пропагацијата зависи од давателот, а чекање што работи денес не е доказ за утре.

Управувани клиенти и намерно приватни имиња

Управуваните уреди и намерно приватните имиња добро одговараат на внатрешен CA. Дистрибуирајте го доверливиот издавач преку управување со уреди, потоа издајте листови сертификати за предвидените имиња. Проверете кое складиште всушност го користи секој клиент, бидејќи еден увоз во оперативниот систем не е универзално тврдење за секој прелистувач и апликација. Закачувањето на листот е друга опција каде што е експлицитно поддржано, по цена на уште едно ажурирање на довербата секогаш кога листот се менува.

Каналот за дистрибуција е исто толку важен како клучот: корен што никој не го инсталира не штити ништо.

Обновувањето е дел од дизајнот

Кој и да е патот што ќе го изберете, обновувањето бара сопственик и постапка. Освежувањето на доказот за валидација, инсталирањето на новиот материјал и повторното вчитување на слушателот преку неговиот поддржан механизам се три одделни чекори, и само првиот го автоматизираат повеќето ACME клиенти. Сертификат што се обновува правилно, но никогаш не се вчитува, предизвикува ист прекин како оној на кој му истекол рокот.

Сертификатот не го инсталира патот на VPN и не го создава внатрешниот DNS запис. На клиентите уште им треба резолвер што го поврзува името со приватната адреса и пат за да стигнат до него. Тестирајте ја страницата по име од клиент што ги има и двете.

Запишете го издавачот, методот на валидација, каналот за дистрибуција на довербата и механизмот за повторно вчитување. Тие четири се планот за обновување.