VPN വഴി മാത്രം പ്രവേശനമുള്ള സൈറ്റിനുള്ള സർട്ടിഫിക്കറ്റ്: DNS-01 അതോ സ്വകാര്യ CA യോ?

VPN വഴി മാത്രം പ്രവേശനമുള്ള സൈറ്റ് തന്റെ സർട്ടിഫിക്കറ്റ് എങ്ങനെ നേടണം എന്ന് മൂന്ന് വ്യവസ്ഥകൾ തീരുമാനിക്കുന്നു: നിങ്ങൾ ഒരു പൊതു DNS മേഖല നിയന്ത്രിക്കുന്നുണ്ടോ, ഹോസ്റ്റ്നെയിം പൊതു ലോഗുകളിൽ വരാമോ, ഓരോ ക്ലയന്റിനും സ്വകാര്യ വിശ്വാസ ആങ്കർ നൽകാമോ. പൊതുവായതും സ്വകാര്യവുമായ വഴികൾ രണ്ടും പ്രവർത്തിക്കുന്ന പൂട്ട് ഉണ്ടാക്കുന്നു, അവ വ്യത്യസ്ത ചോദ്യങ്ങൾക്ക് ഉത്തരം നൽകുന്നു. ഈ വ്യവസ്ഥകൾ തീർപ്പാക്കാതെ ഒന്ന് തിരഞ്ഞെടുക്കുന്നതാണ് സൈറ്റ് തനിക്ക് വേണ്ടാത്ത ഒരു പൊതു സർട്ടിഫിക്കറ്റുമായി, അല്ലെങ്കിൽ പകുതി ക്ലയന്റുകൾ നിരസിക്കുന്ന ആന്തരിക സർട്ടിഫിക്കറ്റുമായി അവസാനിക്കുന്ന വഴി.

സർട്ടിഫിക്കറ്റ് പേര് തെളിയിക്കുന്നു; VPN ഉം ആന്തരിക DNS ഉം വഴി നൽകുന്നു.

വിശ്വസനീയമായ പേരിലേക്കുള്ള രണ്ട് വഴികൾ

DNS-01 സ്ഥിരീകരണത്തോടെയുള്ള ഒരു പൊതു ഇഷ്യൂവർ, നിങ്ങൾ നിയന്ത്രിക്കുന്ന മേഖലയിലെ TXT റെക്കോർഡിലൂടെ ഒരു പേരിന്മേലുള്ള നിയന്ത്രണം തെളിയിക്കുന്നു, അതിനാൽ വെബ് സേവനം ഒരിക്കലും ഒരു പൊതു HTTP കണക്ഷൻ സ്വീകരിക്കേണ്ടതില്ല. ഒരു സ്വകാര്യ CA ആന്തരിക പേരുകൾക്ക് ലീഫ് സർട്ടിഫിക്കറ്റുകൾ നൽകുകയും ഡിവൈസ് മാനേജ്മെന്റിലൂടെ തന്റെ വിശ്വാസ ആങ്കർ വിതരണം ചെയ്യുകയും ചെയ്യുന്നു, അതിനാൽ ഒരു പൊതു ലോഗും പേര് അറിയുന്നില്ല. രണ്ടും സാധുവാണ്, തിരഞ്ഞെടുപ്പ് സൗകര്യത്തിൽ നിന്നല്ല, ആ മൂന്ന് വ്യവസ്ഥകളിൽ നിന്നാണ് വരുന്നത്. ഏതൊരു വഴിയും ക്ലയന്റിന് ആവശ്യമായ വഴിയോ റിസോൾവർ എന്റ്രിയോ നൽകുന്നില്ല.

ഒരു പൊതു സർട്ടിഫിക്കറ്റ് ഹോസ്റ്റ്നെയിം സർട്ടിഫിക്കറ്റ് സുതാര്യതാ ലോഗുകളിലും പ്രസിദ്ധീകരിക്കുന്നു. പേര് തന്നെ സംവേദനക്ഷമമാണെങ്കിൽ, ആ വെളിപ്പെടുത്തൽ പിന്നീട് കണ്ടെത്തേണ്ട ഒരു പാർശ്വഫലമല്ല, ഒരു ഡിസൈൻ തീരുമാനമാണ്.

സേവനം വെളിപ്പെടുത്താതെ DNS-01

ചലഞ്ച് റെക്കോർഡ് മേഖലയിൽ സംവരണം ചെയ്ത ഒരു പ്രിഫിക്സിന് കീഴിലുള്ള TXT എന്റ്രിയാണ്, ഇഷ്യൂവർ അത് അധികാരമുള്ള DNS ൽ നിന്ന് വായിക്കുന്നു. ആ റെക്കോർഡ് സൃഷ്ടിക്കാനും നീക്കാനും കഴിയുന്ന ഒരു ACME ക്ലയന്റും DNS സംയോജനവും തിരഞ്ഞെടുക്കുക, പിന്നെ അപ്ഡേറ്റ് ഇടുങ്ങിയതായി അനുവദിക്കുക: മേഖലയ്ക്കുള്ള പരിമിത API ക്രെഡൻഷ്യലുകൾ, അല്ലെങ്കിൽ സ്ഥിരീകരണത്തിന് മാത്രം ഉപയോഗിക്കുന്ന നിയന്ത്രിത ഹോസ്റ്റ്. ഒരു സർട്ടിഫിക്കറ്റ് പുതുക്കാൻ ആപ്ലിക്കേഷൻ സെർവറിന് പരിധിയില്ലാത്ത രജിസ്ട്രാർ ക്രെഡൻഷ്യലുകൾ നൽകുന്നത് ജോലിക്ക് ആവശ്യമുള്ളതിലും എത്രയോ കൂടുതൽ അധികാരമാണ്. പല ഓർഡറുകൾ ഒരു പേര് പങ്കിടുമ്പോൾ അവയുടെ TXT മൂല്യങ്ങൾ വേർതിരിച്ച് സൂക്ഷിക്കുക, ഒന്ന് വൃത്തിയാക്കുന്നത് മറ്റൊന്നിന് ഇനിയും വേണ്ട മൂല്യം നീക്കം ചെയ്യാതിരിക്കാൻ.

സ്ഥിരമായ കാത്തിരിപ്പിന് പകരം അധികാരമുള്ള സെർവറുകൾക്കെതിരായ പരിശോധനയോടെ വ്യാപനത്തിനായി കാത്തിരിക്കുക. വ്യാപന സ്വഭാവം ദാതാവിനെ ആശ്രയിച്ചിരിക്കുന്നു, ഇന്ന് പ്രവർത്തിക്കുന്ന ഒരു കാത്തിരിപ്പ് നാളെയെക്കുറിച്ചുള്ള തെളിവല്ല.

നിയന്ത്രിത ക്ലയന്റുകളും ബോധപൂർവം സ്വകാര്യമായ പേരുകളും

നിയന്ത്രിത ഉപകരണങ്ങളും ബോധപൂർവം സ്വകാര്യമായ പേരുകളും ആന്തരിക CA യ്ക്ക് നന്നായി യോജിക്കുന്നു. ഡിവൈസ് മാനേജ്മെന്റിലൂടെ വിശ്വസനീയ ഇഷ്യൂവർ വിതരണം ചെയ്യുക, പിന്നെ ഉദ്ദേശിച്ച പേരുകൾക്ക് ലീഫ് സർട്ടിഫിക്കറ്റുകൾ നൽകുക. ഓരോ ക്ലയന്റും യഥാർത്ഥത്തിൽ ഏത് സ്റ്റോർ ഉപയോഗിക്കുന്നു എന്ന് പരിശോധിക്കുക, കാരണം ഓപ്പറേറ്റിംഗ് സിസ്റ്റത്തിലേക്കുള്ള ഒരു ഇമ്പോർട്ട് ഓരോ ബ്രൗസറിനെയും ആപ്ലിക്കേഷനെയും കുറിച്ചുള്ള സാർവത്രിക പ്രസ്താവനയല്ല. ലീഫ് പിന്നിംഗ് വ്യക്തമായി പിന്തുണയ്ക്കുന്നിടത്ത് മറ്റൊരു ഓപ്ഷനാണ്, ലീഫ് മാറുമ്പോഴെല്ലാം മറ്റൊരു വിശ്വാസ അപ്ഡേറ്റിന്റെ വിലയ്ക്ക്.

വിതരണ ചാനൽ താക്കോലിനൊപ്പം തന്നെ പ്രധാനമാണ്: ആരും ഇൻസ്റ്റാൾ ചെയ്യാത്ത ഒരു റൂട്ട് ഒന്നിനെയും സംരക്ഷിക്കുന്നില്ല.

പുതുക്കൽ ഡിസൈനിന്റെ ഭാഗമാണ്

നിങ്ങൾ ഏത് വഴി തിരഞ്ഞെടുത്താലും, പുതുക്കലിന് ഒരു ഉടമയും ഒരു നടപടിക്രമവും ആവശ്യമാണ്. സ്ഥിരീകരണ തെളിവ് പുതുക്കുന്നത്, പുതിയ വസ്തു ഇൻസ്റ്റാൾ ചെയ്യുന്നത്, പിന്തുണയ്ക്കുന്ന സംവിധാനത്തിലൂടെ ശ്രോതാവിനെ വീണ്ടും ലോഡ് ചെയ്യുന്നത് — ഇവ മൂന്ന് വേറിട്ട ഘട്ടങ്ങളാണ്, ആദ്യത്തേത് മാത്രമാണ് മിക്ക ACME ക്ലയന്റുകളും യാന്ത്രികമാക്കുന്നത്. ശരിയായി പുതുക്കപ്പെടുന്നു എന്നാൽ ഒരിക്കലും ലോഡ് ചെയ്യാത്ത ഒരു സർട്ടിഫിക്കറ്റ് കാലഹരണപ്പെട്ടതിന് തുല്യമായ തടസ്സം ഉണ്ടാക്കുന്നു.

സർട്ടിഫിക്കറ്റ് VPN വഴി ഇൻസ്റ്റാൾ ചെയ്യുന്നില്ല, ആന്തരിക DNS റെക്കോർഡ് സൃഷ്ടിക്കുന്നുമില്ല. പേര് സ്വകാര്യ വിലാസത്തിലേക്ക് മാപ്പ് ചെയ്യുന്ന ഒരു റിസോൾവറും അങ്ങോട്ട് എത്താനുള്ള ഒരു വഴിയും ക്ലയന്റുകൾക്ക് ഇനിയും വേണം. രണ്ടും ഉള്ള ഒരു ക്ലയന്റിൽ നിന്ന് പേര് ഉപയോഗിച്ച് സൈറ്റ് പരീക്ഷിക്കുക.

ഇഷ്യൂവർ, സ്ഥിരീകരണ രീതി, വിശ്വാസ വിതരണ ചാനൽ, വീണ്ടും ലോഡ് ചെയ്യാനുള്ള സംവിധാനം എന്നിവ രേഖപ്പെടുത്തുക. ആ നാലും തന്നെയാണ് പുതുക്കൽ പദ്ധതി.