खाजगी IP वर HTTPS: प्रमाणपत्राची ओळख की होस्टनाव?

https://10.60.0.25 वरील तुमची सेवा DNS नावाशिवायही प्रमाणित TLS ठेवू शकते। पत्ता हीच ती ओळख आहे जी क्लायंटने सत्यापित करायची असते, आणि प्रमाणपत्राने ती अचूक वर्णन करायची असते। निर्णय हा आहे की तो पत्ता ओळख होण्यासाठी पुरेसा स्थिर आहे का, की होस्टनाव सांभाळणे सोपे राहील। VPN पोहोचक्षमतेला उत्तर देते; याला उत्तर देत नाही।

ओळख आणि विश्वास नीट ठेवा, मग IP-आधारित URL ही वैध रचना आहे।

क्लायंट प्रत्यक्षात काय सत्यापित करतो

क्लायंट URL मधील संदर्भ ओळखीची प्रमाणपत्राच्या पर्यायी विषय नावांशी तुलना करतो। IP पत्त्यासाठी याचा अर्थ पत्त्याएवढी iPAddress नोंद आहे। मैत्रीपूर्ण सामान्य नाव त्याला पर्याय नाही।

RFC 9525 IP पत्ता ओळखी DNS नावांपासून वेगळ्या करते आणि जुळणीचा नियम परिभाषित करते। पत्ता फक्त विषय लेबलमध्ये किंवा DNS प्रकारची नोंद म्हणून ठेवल्यास जुळणी होत नाही। म्हणून इशारा दिसल्यावर तपासायचे क्षेत्र SAN हेच आहे।

विश्वास ही दुसरी, स्वतंत्र तपासणी आहे। नावाची जुळणी अविश्वासार्ह साखळी, कालबाह्य प्रमाणपत्र किंवा दुसऱ्या हेतूने जारी केलेले प्रमाणपत्र दुरुस्त करत नाही।

पहिला निर्णय: पत्ता ओळख होण्यासाठी पुरेसा स्थिर आहे का

पत्ता संपूर्ण तैनातीच्या काळात स्थिर असेल तर IP SAN प्रमाणपत्र साधे आणि प्रामाणिक आहे। सेवा हलू शकत असेल तर प्रत्येक हालचाल प्रमाणपत्र बदल आणि समन्वित क्लायंट अद्ययावत होते।

स्थिर होस्टनाव ते जोडणे कमी करते। क्लायंट नाव वापरतात, मंजूर DNS ते सध्याच्या पत्त्याशी जोडते, आणि पत्ता बदल हा ओळख बदल राहत नाही। प्रमाणपत्राला अजूनही नूतनीकरण लागते, पण URL बदलत नाही।

व्यवस्थापित hosts फाइल नोंद लहान वातावरणात मॅपिंग देऊ शकते। ती वितरणाची जबाबदारी वाढवते; ती TLS सत्यापनाला पर्याय नाही।

दुसरा निर्णय: क्लायंट जारीकर्त्यावर कसा विश्वास ठेवेल

खाजगी CA साठी, मंजूर यंत्रणेद्वारे विश्वास-अँकर इच्छित उपकरणांवर वितरित करा। वापरकर्त्यांना इशारे ओलांडण्यास किंवा साइन-इन पृष्ठाने दिलेले प्रमाणपत्र स्थापित करण्यास शिकवू नका। सार्वजनिक विश्वासार्ह प्रमाणपत्र हवे असेल तर योजना करण्यापूर्वी खाजगी पत्त्यांसाठी जारीकर्त्याचे सध्याचे नियम तपासा। बहुतेक सार्वजनिक जारीकर्ते खाजगी IP ला सार्वजनिक ओळख म्हणून सत्यापित करणार नाहीत।

प्रत्यक्ष ब्राउझर किंवा अनुप्रयोग तपासा। त्याचा विश्वास संचय आणि सत्यापन वर्तन ऑपरेटिंग सिस्टमच्या सामान्य प्रमाणपत्र दस्तऐवजापेक्षा अधिक महत्त्वाचे आहे। ते केवळ कन्सोलमध्ये नाही, प्रत्यक्ष उपकरणावर तपासा।

VPN गेटवे वेब अनुप्रयोग चालवणारे यंत्र नसू शकते, म्हणून टनेलच्या प्रमाणपत्राचा याच्याशी काही संबंध आहे असे मानू नका।

पत्ता बदल होण्यापूर्वीच योजना करा

10.60.0.25 10.60.0.40 झाले तर जुने प्रमाणपत्र आता URL वर्णन करत नाही। बदल आणि क्लायंट अद्ययावत एकत्र योजा, आणि स्थानांतरादरम्यान सत्यापन कधीही बंद करू नका।

वापरकर्ते लिहतील किंवा अनुप्रयोग संरचीत करतील ती ओळख निवडा, मग तिच्याभोवती जारी करणे, विश्वास, तैनाती आणि नूतनीकरण संरेखित करा। बाद केलेल्या इशाऱ्यासह पोहोचण्यायोग्य पृष्ठ आणि क्लायंट ओळख सत्यापित करणारी सेवा सारखा निकाल नाही।