Sijil untuk laman khusus VPN: DNS-01 atau CA peribadi?

Tiga syarat menentukan cara laman web khusus VPN sepatutnya mendapatkan sijilnya: sama ada anda mengawal zon DNS awam, sama ada nama hos boleh muncul dalam log awam, dan sama ada setiap klien boleh diberi sauh kepercayaan peribadi. Laluan awam dan peribadi kedua-duanya menghasilkan mangga yang berfungsi dan menjawab soalan yang berbeza. Memilih satu tanpa menyelesaikan syarat itu ialah cara sesuatu laman berakhir dengan sijil awam yang tidak diingininya, atau sijil dalaman yang ditolak separuh klien.

Sijil membuktikan namanya; VPN dan DNS dalaman menyediakan laluannya.

Dua laluan ke nama yang dipercayai

Penerbit awam dengan pengesahan DNS-01 membuktikan kawalan ke atas nama melalui rekod TXT dalam zon yang anda kawal, jadi perkhidmatan web tidak perlu menerima sambungan HTTP awam. CA peribadi mengeluarkan sijil daun untuk nama dalaman dan mengedarkan sauh kepercayaannya melalui pengurusan peranti, jadi tiada log awam mengetahui nama itu. Kedua-duanya sah, dan pilihan mengikut ketiga-tiga syarat itu, bukan kemudahan. Tiada satu pun laluan menyediakan laluan atau entri penyelesai yang diperlukan klien.

Sijil awam juga menerbitkan nama hos dalam log ketelusan sijil. Jika nama itu sendiri sensitif, pendedahan itu ialah keputusan reka bentuk dan bukan kesan sampingan yang ditemui kemudian.

DNS-01 tanpa mendedahkan perkhidmatan

Rekod cabaran ialah entri TXT di bawah awalan terpelihara dalam zon, dan penerbit membacanya daripada DNS berwibawa. Pilih klien ACME dan integrasi DNS yang boleh mencipta dan membuang rekod itu, dan benarkan kemas kini secara sempit: kelayakan API terhad untuk zon, atau hos terkawal yang hanya digunakan untuk pengesahan. Memberi pelayan aplikasi kelayakan pendaftar tanpa had untuk memperbaharui satu sijil jauh lebih banyak kuasa daripada yang diperlukan tugas ini. Apabila beberapa pesanan berkongsi satu nama, asingkan nilai TXT mereka supaya pembersihan satu tidak membuang nilai yang masih diperlukan yang lain.

Tunggu penyebaran dengan semakan terhadap pelayan berwibawa dan bukan dengan tidur tetap. Tingkah laku penyebaran bergantung pada pembekal, dan tidur yang berjaya hari ini bukan bukti tentang esok.

Klien terurus dan nama yang sengaja peribadi

Peranti terurus dan nama yang sengaja peribadi sesuai dengan CA dalaman. Edarkan penerbit dipercayai melalui pengurusan peranti, kemudian keluarkan sijil daun untuk nama yang dimaksudkan. Periksa stor mana yang benar-benar digunakan setiap klien, kerana satu import dalam sistem pengendalian bukan dakwaan sejagat tentang setiap pelayar dan aplikasi. Penyematan daun ialah pilihan lain jika disokong secara jelas, dengan kos satu lagi kemas kini kepercayaan setiap kali daun berubah.

Saluran pengedaran sama pentingnya dengan kunci: akar yang tiada siapa memasangnya tidak melindungi apa-apa.

Pembaharuan ialah sebahagian daripada reka bentuk

Laluan mana pun yang anda pilih, pembaharuan memerlukan pemilik dan prosedur. Menyegarkan bukti pengesahan, memasang bahan baharu dan memuat semula pendengar melalui mekanisme yang disokongnya ialah tiga langkah berasingan, dan hanya langkah pertama yang diotomatikkan oleh kebanyakan klien ACME. Sijil yang diperbaharui dengan betul tetapi tidak pernah dimuat menghasilkan gangguan yang sama seperti yang telah tamat tempoh.

Sijil tidak memasang laluan VPN atau mencipta rekod DNS dalaman. Klien masih memerlukan penyelesai yang memetakan nama ke alamat peribadi dan laluan untuk mencapainya. Uji laman mengikut nama daripada klien yang mempunyai kedua-duanya.

Catat penerbit, kaedah pengesahan, saluran pengedaran kepercayaan dan mekanisme muat semula. Keempat-empatnya ialah pelan pembaharuan.