Зөвхөн VPN-ээр нэвтрэх сайтын сертификат: DNS-01 уу, хувийн CA юу?

Зөвхөн VPN-ээр нэвтрэх сайт сертификатаа хэрхэн авах ёстойг гурван нөхцөл тодорхойлно: нийтийн DNS бүсийг удирдаж байгаа эсэх, хост нэр нийтийн бүртгэлд гарч болох эсэх, хэрэглэгч бүрт хувийн итгэлцлийн зангуу өгч болох эсэх. Нийтийн болон хувийн зам хоёулаа ажилладаг цоож үүсгэдэг бөгөөд тэд өөр асуултад хариулдаг. Эдгээр нөхцөлийг шийдэхгүйгээр нэгийг сонгох нь сайт хүсээгүй нийтийн сертификаттай, эсвэл хэрэглэгчдийн тал нь татгалздаг дотоод сертификаттай үлдэх зам юм.

Сертификат нэрийг батална; VPN болон дотоод DNS зам өгнө.

Итгэмжлэгдсэн нэр рүү хоёр зам

DNS-01 баталгаажуулалттай нийтийн олгогч таны удирддаг бүс дэх TXT бичлэгээр нэрэн дээрх хяналтыг баталдаг тул вэб үйлчилгээ нийтийн HTTP холболт хүлээн авах шаардлагагүй. Хувийн CA дотоод нэрсэд навч сертификат олгож, итгэлцлийн зангууг төхөөрөмжийн удирдлагаар түгээдэг тул ямар ч нийтийн бүртгэл нэрийг мэдэхгүй. Хоёулаа хууль ёсны бөгөөд сонголт тав тухыг бус тэдгээр гурван нөхцлөөс үүдэлтэй. Аль ч зам хэрэглэгчид хэрэгтэй маршрут эсвэл шийдэгчийн бичлэгийг өгөхгүй.

Нийтийн сертификат хост нэрийг сертификатын ил тод байдлын бүртгэлд нийтэлдэг. Хэрэв нэр нь өөрөө эмзэг бол энэ ил болгох нь дараа илрүүлэх гаж нөлөө бус, дизайны шийдвэр юм.

Үйлчилгээг ил гаргалгүй DNS-01

Сорилтын бичлэг нь бүс дэх нөөцлөгдсөн угтварын дор байх TXT бичлэг бөгөөд олгогч үүнийг эрх бүхий DNS-ээс уншдаг. Тэр бичлэгийг үүсгэж, устгаж чадах ACME хэрэглэгч болон DNS интеграцийг сонгож, шинэчлэлтэд явцуу эрх олгоно: бүсэд зориулсан хязгаарлагдмал API итгэмжлэл, эсвэл зөвхөн баталгаажуулалтад ашиглах хяналттай хост. Нэг сертификатыг шинэчлэхийн тулд програмын серверт хязгааргүй бүртгэгчийн итгэмжлэл өгөх нь даалгаварт хэрэгтэйгээс хамаагүй илүү эрх юм. Хэд хэдэн захиалга нэг нэрийг хуваалцвал тэдгээрийн TXT утгыг тусдаа байлгаж, нэгийг цэвэрлэхэд нөгөөд нь хэрэгтэй утгыг устгахгүй байх болно.

Тогтмол хүлээлтийн оронд эрх бүхий серверүүдтэй тулган шалгаж тархалтыг хүлээнэ. Тархалтын зан төлөв нийлүүлэгчээс хамаардаг бөгөөд өнөөдөр ажилладаг хүлээлт маргаашийн тухай баталгаа биш.

Удирдлагатай хэрэглэгчид ба зориудын хувийн нэрс

Удирдлагатай төхөөрөмжүүд болон зориудын хувийн нэрс дотоод CA-д сайн тохирдог. Итгэмжлэгдсэн олгогчийг төхөөрөмжийн удирдлагаар түгээж, дараа нь зориулсан нэрсэд навч сертификат олгоно. Хэрэглэгч бүр яг ямар санг ашигладаг болохыг шалгана, учир нь үйлдлийн системд нэг удаа оруулах нь бүх хөтөч, програмын тухай бүх нийтийн мэдэгдэл биш. Навч бэхлэлт нь тодорхой дэмжигдсэн газарт өөр нэг сонголт бөгөөд навч өөрчлөгдөх бүрт дахин нэг итгэлцлийн шинэчлэлтийн үнээр.

Түгээлтийн суваг түлхүүртэй адил чухал: хэн ч суулгадаггүй үндэс юуг ч хамгаалахгүй.

Шинэчлэлт нь дизайны нэг хэсэг

Аль замыг сонгосон ч шинэчлэлтэд эзэн ба журам хэрэгтэй. Баталгаажуулалтын нотолгоог шинэчлэх, шинэ материалыг суулгах, дэмжигдсэн механизмаар сонсогчийг дахин ачаалах нь гурван тусдаа алхам бөгөөд зөвхөн эхнийхийг нь ихэнх ACME хэрэглэгч автоматжуулдаг. Зөв шинэчлэгддэг боловч хэзээ ч ачаалагддаггүй сертификат хугацаа дууссантай ижил тасалдал үүсгэдэг.

Сертификат VPN маршрутыг суулгахгүй, дотоод DNS бичлэгийг үүсгэхгүй. Хэрэглэгчдэд нэрийг хувийн хаягтай холбодог шийдэгч ба тэнд хүрэх маршрут одоо ч хэрэгтэй. Хоёулаа бүрдсэн хэрэглэгчээс сайтыг нэрээр нь туршина.

Олгогч, баталгаажуулалтын арга, итгэлцлийн түгээлтийн суваг, дахин ачаалах механизмыг тэмдэглэнэ. Тэр дөрөв нь шинэчлэлтийн төлөвлөгөө.