Een certificaat voor een site alleen via VPN: DNS-01 of een private CA?

Drie voorwaarden bepalen hoe een website die alleen via VPN bereikbaar is, zijn certificaat zou moeten krijgen: of u een openbare DNS-zone beheert, of de hostnaam in openbare logboeken mag verschijnen en of elke client een private trustanchor kan krijgen. De openbare en de private route leveren beide een werkend slot en ze beantwoorden verschillende vragen. Er één kiezen zonder die voorwaarden te beslechten is hoe een site eindigt met een openbaar certificaat dat hij niet wilde, of een intern dat de helft van de clients weigert.

Het certificaat bewijst de naam; de VPN en de interne DNS leveren de route.

Twee routes naar een vertrouwde naam

Een openbare uitgever met DNS-01-validatie bewijst controle over een naam via een TXT-record in een zone die u beheert, zodat de webservice nooit een openbare HTTP-verbinding hoeft te accepteren. Een private CA geeft bladcertificaten uit voor interne namen en verspreidt zijn trustanchor via apparaatbeheer, zodat geen enkel openbaar logboek de naam leert kennen. Beide zijn legitiem, en de keuze volgt uit die drie voorwaarden en niet uit gemak. Geen van beide routes levert de route of het resolver-item dat een client nodig heeft.

Een openbaar certificaat publiceert de hostnaam ook in certificaattransparantielogboeken. Als de naam zelf gevoelig is, is die openbaarmaking een ontwerpbeslissing en geen bijwerking die u later ontdekt.

DNS-01 zonder de dienst bloot te leggen

Het challenge-record is een TXT-item onder een gereserveerd voorvoegsel in de zone, en de uitgever leest het uit autoritatieve DNS. Kies een ACME-client en DNS-integratie die dat record kunnen aanmaken en verwijderen, en geef de update nauwkeurig toestemming: een beperkte API-referentie voor de zone, of een beheerde host die alleen voor validatie wordt gebruikt. De applicatieserver een onbeperkte registrar-referentie geven om één certificaat te verlengen is veel meer bevoegdheid dan de taak vereist. Als meerdere orders een naam delen, houd hun TXT-waarden gescheiden zodat het opruimen van de ene geen waarde verwijdert die de andere nog nodig heeft.

Wacht op propagatie met een controle tegen de autoritatieve servers in plaats van een vaste slaap. Propagatiegedrag is providerafhankelijk, en een slaap die vandaag werkt is geen bewijs over morgen.

Beheerde clients en bewust private namen

Beheerde apparaten en bewust private namen passen goed bij een interne CA. Verspreid de vertrouwde uitgever via apparaatbeheer en geef daarna bladcertificaten uit voor de bedoelde namen. Controleer welk archief elke client werkelijk gebruikt, want één import in het besturingssysteem is geen universele bewering over elke browser en toepassing. Bladpinning is een andere optie waar het expliciet wordt ondersteund, tegen de prijs van nog een vertrouwensupdate telkens wanneer het blad verandert.

Het distributiekanaal is even belangrijk als de sleutel: een root die niemand installeert, beschermt niets.

Vernieuwing hoort bij het ontwerp

Welke route u ook kiest, vernieuwing vraagt een eigenaar en een procedure. Het vernieuwen van het validatiebewijs, het installeren van het nieuwe materiaal en het herladen van de listener via zijn ondersteunde mechanisme zijn drie afzonderlijke stappen, en alleen de eerste wordt door de meeste ACME-clients geautomatiseerd. Een certificaat dat correct vernieuwt maar nooit wordt geladen, veroorzaakt dezelfde storing als een verlopen certificaat.

Het certificaat installeert de VPN-route niet en maakt het interne DNS-record niet aan. Clients hebben nog steeds een resolver nodig die de naam aan het private adres koppelt, en een route om daar te komen. Test de site op naam vanaf een client die beide heeft.

Noteer de uitgever, de validatiemethode, het vertrouwensdistributiekanaal en het herlaadmechanisme. Die vier zijn het vernieuwingsplan.