Et sertifikat for et nettsted bare via VPN: DNS-01 eller en privat CA?

Tre forhold avgjør hvordan et nettsted som bare er tilgjengelig via VPN, bør få sertifikatet sitt: om du kontrollerer en offentlig DNS-sone, om vertsnavnet kan forekomme i offentlige logger, og om hver klient kan få et privat tillitsanker. Både den offentlige og den private veien gir en hengelås som virker, og de svarer på forskjellige spørsmål. Å velge én uten å avklare disse forholdene er måten et nettsted ender opp med et offentlig sertifikat det ikke ville ha, eller et internt som halvparten av klientene avviser.

Sertifikatet beviser navnet; VPN-et og den interne DNS-en leverer veien.

To veier til et klarert navn

En offentlig utsteder med DNS-01-validering beviser kontroll over et navn gjennom en TXT-post i en sone du kontrollerer, slik at webtjenesten aldri må godta en offentlig HTTP-tilkobling. En privat CA utsteder bladsertifikater for interne navn og distribuerer tillitsankeret sitt gjennom enhetsstyring, slik at ingen offentlig logg får kjennskap til navnet. Begge er legitime, og valget følger av de tre forholdene og ikke av bekvemmelighet. Ingen av veiene leverer ruten eller resolver-oppføringen en klient trenger.

Et offentlig sertifikat publiserer også vertsnavnet i logger for sertifikattransparens. Hvis selve navnet er følsomt, er den avsløringen en designbeslutning og ikke en bivirkning du oppdager senere.

DNS-01 uten å blottlegge tjenesten

Utfordringsposten er en TXT-post under et reservert prefiks i sonen, og utstederen leser den fra autoritativ DNS. Velg en ACME-klient og DNS-integrasjon som kan opprette og fjerne den posten, og gi oppdateringen snever tillatelse: en avgrenset API-legitimasjon for sonen, eller en kontrollert vert som bare brukes til validering. Å gi applikasjonsserveren en ubegrenset registratorlegitimasjon for å fornye ett sertifikat er langt mer myndighet enn oppgaven krever. Når flere bestillinger deler et navn, hold TXT-verdiene deres atskilt, slik at opprydding av den ene ikke fjerner en verdi den andre fortsatt trenger.

Vent på utbredelsen med en sjekk mot de autoritative serverne i stedet for en fast pause. Utbredelsesatferd er leverandørspesifikk, og en pause som virker i dag er ikke bevis om i morgen.

Administrerte klienter og bevisst private navn

Administrerte enheter og bevisst private navn passer godt til en intern CA. Distribuer den klarerte utstederen gjennom enhetsstyring, og utsted deretter bladsertifikater for de tiltenkte navnene. Undersøk hvilket lager hver klient faktisk bruker, for én import i operativsystemet er ikke en universell påstand om alle nettlesere og programmer. Bladfesting er et annet alternativ der det støttes eksplisitt, til prisen av nok en tillitsoppdatering hver gang bladet endres.

Distribusjonskanalen betyr like mye som nøkkelen: en rot som ingen installerer, beskytter ingenting.

Fornyelse er en del av designet

Uansett hvilken vei du velger, trenger fornyelse en eier og en prosedyre. Å fornye valideringsbeviset, installere det nye materialet og laste inn lytteren på nytt gjennom dens støttede mekanisme er tre separate trinn, og bare det første automatiseres av de fleste ACME-klienter. Et sertifikat som fornyes riktig, men aldri lastes inn, gir samme avbrudd som et som er utløpt.

Sertifikatet installerer ikke VPN-ruten og oppretter ikke den interne DNS-posten. Klientene trenger fortsatt en resolver som mapper navnet til den private adressen, og en rute for å nå den. Test nettstedet ved navn fra en klient som har begge.

Noter utstederen, valideringsmetoden, tillitsdistribusjonskanalen og innlastingsmekanismen. De fire er fornyelsesplanen.