फक्त VPN ने चालणाऱ्या साइटसाठी प्रमाणपत्र: DNS-01 की खाजगी CA?

फक्त VPN ने उपलब्ध साइटने आपले प्रमाणपत्र कसे घ्यावे हे तीन अटी ठरवतात: तुम्ही सार्वजनिक DNS झोन नियंत्रित करता का, होस्टनाव सार्वजनिक लॉगमध्ये दिसू शकते का, आणि प्रत्येक क्लायंटला खाजगी विश्वास अँकर देता येतो का। सार्वजनिक आणि खाजगी असे दोन्ही मार्ग कार्यरत कुलूप तयार करतात आणि ते वेगवेगळ्या प्रश्नांची उत्तरे देतात। या अटी ठरविल्याशिवाय एक निवडणे म्हणजे साइटला नको असलेले सार्वजनिक प्रमाणपत्र मिळणे, किंवा अर्धे क्लायंट नाकारतात असे अंतर्गत प्रमाणपत्र मिळणे।

प्रमाणपत्र नाव सिद्ध करते; VPN आणि अंतर्गत DNS मार्ग पुरवतात।

विश्वासार्ह नावाकडे दोन मार्ग

DNS-01 पडताळणीसह सार्वजनिक जारीकर्ता तुमच्या नियंत्रणातील झोनमधील TXT रेकॉर्डद्वारे नावावरील नियंत्रण सिद्ध करतो, त्यामुळे वेब सेवेला कधीही सार्वजनिक HTTP कनेक्शन स्वीकारावे लागत नाही। खाजगी CA अंतर्गत नावांसाठी लीफ प्रमाणपत्रे जारी करते आणि उपकरण व्यवस्थापनाद्वारे आपला विश्वास अँकर वितरित करते, त्यामुळे कोणत्याही सार्वजनिक लॉगला नाव कळत नाही। दोन्ही वैध आहेत, आणि निवड सोयीवरून नाही तर त्या तीन अटींवरून येते। कोणताही मार्ग क्लायंटला आवश्यक असलेला मार्ग किंवा रिझॉल्व्हर नोंद देत नाही।

सार्वजनिक प्रमाणपत्र होस्टनाव प्रमाणपत्र-पारदर्शकता लॉगमध्येही प्रकाशित करते। जर नावच संवेदनशील असेल, तर तो खुलासा नंतर शोधायचा दुष्परिणाम नाही तर रचना-निर्णय आहे।

सेवा उघड न करता DNS-01

आव्हान रेकॉर्ड झोनमधील राखीव उपसर्गाखालील TXT नोंद आहे, आणि जारीकर्ता ती अधिकृत DNS मधून वाचतो। ती नोंद तयार करू व काढू शकणारा ACME क्लायंट आणि DNS एकत्रीकरण निवडा, आणि अद्ययावत करण्यास अरुंद अधिकार द्या: झोनसाठी मर्यादित API क्रेडेन्शियल, किंवा केवळ पडताळणीसाठी वापरला जाणारा नियंत्रित होस्ट। एक प्रमाणपत्र नूतनीकरणासाठी अनुप्रयोग सर्व्हरला अमर्यादित नोंदणीकर्ता क्रेडेन्शियल देणे हे कामास आवश्यक असलेल्यापेक्षा खूपच जास्त अधिकार आहे। अनेक ऑर्डर एकच नाव सामायिक करत असतील, तर त्यांची TXT मूल्ये वेगळी ठेवा जेणेकरून एकाची साफसफाई दुसऱ्यास अजून आवश्यक असलेले मूल्य काढून टाकणार नाही।

स्थिर प्रतीक्षेऐवजी अधिकृत सर्व्हरांविरुद्ध तपासणीसह प्रसाराची वाट पाहा। प्रसाराचे वर्तन प्रदात्यानुसार बदलते, आणि आज चालणारी प्रतीक्षा उद्याबद्दल पुरावा नाही।

व्यवस्थापित क्लायंट आणि जाणीवपूर्वक खाजगी नावे

व्यवस्थापित उपकरणे आणि जाणीवपूर्वक खाजगी नावे अंतर्गत CA साठी चांगली जुळतात। उपकरण व्यवस्थापनाद्वारे विश्वासार्ह जारीकर्ता वितरित करा, नंतर इच्छित नावांसाठी लीफ प्रमाणपत्रे जारी करा। प्रत्येक क्लायंट प्रत्यक्षात कोणता साठा वापरतो ते तपासा, कारण ऑपरेटिंग सिस्टममध्ये एक आयात प्रत्येक ब्राउझर व अनुप्रयोगाबद्दल सार्वत्रिक दावा नाही। लीफ पिनिंग हा स्पष्टपणे समर्थित असलेल्या ठिकाणी दुसरा पर्याय आहे, पण लीफ बदलल्यावर प्रत्येक वेळी आणखी एक विश्वास अद्ययावतनाच्या किंमतीवर।

वितरण माध्यम की इतकेच महत्त्वाचे आहे: जे रूट कोणीही स्थापित करत नाही ते काहीही संरक्षित करत नाही।

नूतनीकरण हा रचनेचा भाग आहे

तुम्ही कोणताही मार्ग निवडला तरी नूतनीकरणास मालक आणि प्रक्रिया आवश्यक आहे। पडताळणीचा पुरावा ताजा करणे, नवीन सामग्री स्थापित करणे आणि समर्थित यंत्रणेद्वारे श्रोत्याला पुन्हा लोड करणे या तीन स्वतंत्र पायऱ्या आहेत, आणि फक्त पहिलीच बहुतेक ACME क्लायंट स्वयंचलित करतात। जे प्रमाणपत्र योग्यरित्या नूतनीकृत होते पण कधीही लोड होत नाही ते कालबाह्य प्रमाणपत्राइतकेच व्यत्यय निर्माण करते।

प्रमाणपत्र VPN मार्ग स्थापित करत नाही किंवा अंतर्गत DNS नोंद तयार करत नाही। क्लायंटना अजूनही नाव खाजगी पत्त्याशी जोडणारा रिझॉल्व्हर आणि तिथे पोहोचण्यासाठी मार्ग आवश्यक आहे। दोन्ही असलेल्या क्लायंटकडून नावाने साइट तपासा।

जारीकर्ता, पडताळणी पद्धत, विश्वास वितरण माध्यम आणि पुन्हा लोड करण्याची यंत्रणा नोंदवा। तीच चार नूतनीकरण योजना आहेत।