HTTPS ke IP peribadi: identiti sijil atau nama hos?
IP peribadi boleh menjadi identiti TLS yang sah jika sijil menyatakannya. Pilih antara SAN IP dan nama hos yang stabil, kemudian rancang perubahan alamat.
Perkhidmatan anda di https://10.60.0.25 boleh mempunyai TLS yang disahkan walaupun tanpa nama DNS. Alamat itu ialah identiti yang perlu disahkan oleh klien, dan sijil mesti menerangkannya dengan tepat. Keputusannya ialah sama ada alamat itu cukup stabil untuk menjadi identiti, atau nama hos lebih mudah diselenggara. VPN menjawab kebolehcapaian; ia tidak menjawab perkara ini.
Betulkan identiti dan kepercayaan, dan URL berasaskan IP ialah reka bentuk yang sah.
Apa yang sebenarnya disahkan klien
Klien membandingkan identiti rujukan dalam URL dengan nama subjek alternatif sijil. Untuk alamat IP, itu bermaksud entri iPAddress yang sama dengan alamat itu. Nama umum yang mesra bukan pengganti.
RFC 9525 memisahkan identiti alamat IP daripada nama DNS dan mentakrifkan peraturan padanan. Meletakkan alamat hanya dalam label subjek, atau sebagai entri jenis DNS, tidak menghasilkan padanan. Itulah sebabnya SAN ialah medan yang perlu diperiksa apabila amaran muncul.
Kepercayaan ialah pemeriksaan kedua yang bebas. Padanan nama tidak membaiki rantaian yang tidak dipercayai, sijil tamat tempoh atau sijil yang dikeluarkan untuk tujuan lain.
Keputusan satu: adakah alamat cukup stabil untuk menjadi identiti
Jika alamat ditetapkan sepanjang hayat penggunaan, sijil SAN IP adalah mudah dan jujur. Jika perkhidmatan boleh berpindah, setiap perpindahan menjadi penggantian sijil dan kemas kini klien yang diselaraskan.
Nama hos yang stabil mengurangkan gandingan itu. Klien menggunakan nama, DNS yang diluluskan memetakannya kepada alamat semasa, dan perubahan alamat tidak lagi menjadi perubahan identiti. Sijil masih perlu diperbaharui, tetapi URL tidak berubah.
Entri fail hosts yang diuruskan boleh menyediakan pemetaan dalam persekitaran kecil. Ia menambah tanggungjawab pengedaran; ia tidak menggantikan pengesahan TLS.
Keputusan dua: bagaimana klien akan mempercayai pengeluar
Untuk CA peribadi, edarkan sauh kepercayaan kepada peranti yang dimaksudkan melalui mekanisme yang diluluskan. Jangan melatih pengguna untuk memintas amaran atau memasang sijil yang diberikan oleh halaman log masuk. Jika anda mahukan sijil yang dipercayai secara awam, periksa peraturan semasa pengeluar untuk alamat peribadi sebelum merancang berdasarkannya. Kebanyakan pengeluar awam tidak akan mengesahkan IP peribadi sebagai identiti awam.
Semak pelayar atau aplikasi sebenar. Storan kepercayaan dan tingkah laku pengesahannya lebih penting daripada dokumentasi sijil umum sistem pengendalian. Semak pada peranti sebenar, bukan hanya dalam konsol.
Gerbang VPN mungkin bukan mesin yang menjalankan aplikasi web, jadi jangan anggap sijil terowong mempunyai kaitan dengan yang ini.
Rancang perubahan alamat sebelum ia berlaku
Jika 10.60.0.25 menjadi 10.60.0.40, sijil lama tidak lagi menerangkan URL. Rancang penggantian dan kemas kini klien bersama-sama, dan jangan sekali-kali mematikan pengesahan semasa perpindahan.
Pilih identiti yang akan ditaip pengguna atau dikonfigurasikan aplikasi, kemudian selaraskan pengeluaran, kepercayaan, penggunaan dan pembaharuan di sekelilingnya. Halaman yang boleh dicapai dengan amaran yang diabaikan bukan hasil yang sama seperti perkhidmatan yang identitinya disahkan klien.