HTTPS til ein privat IP: sertifikatidentitet eller vertsnamn?
Eit privat IP kan vere ein gyldig TLS-identitet om sertifikatet seier det. Vel mellom ein IP SAN og eit stabilt vertsnamn, og planlegg deretter adresseendringa.
Tenesta di på https://10.60.0.25 kan ha autentisert TLS sjølv utan eit DNS-namn. Adressa er identiteten klienten må validere, og sertifikatet må skildre henne nøyaktig. Avgjerda er om adressa er stabil nok til å vere ein identitet, eller om eit vertsnamn ville vere lettare å vedlikehalde. VPN-en svarar på tilgjenge; han svarar ikkje på dette.
Få identiteten og tilliten rett, og ein IP-basert URL er eit legitimt design.
Kva klienten faktisk validerer
Klienten samanliknar referanseidentiteten i URL-en med dei alternative namna til sertifikatet. For ei IP-adresse tyder det ein iPAddress-oppføring lik adressa. Eit venleg vanleg namn er inga erstatning.
RFC 9525 skil IP-adresseidentitetar frå DNS-namn og definerer samsvarsregelen. Å setje adressa berre i emneetiketten, eller som ein oppføring av DNS-typen, gir inga samsvar. Difor er SAN feltet som må granskast når ei åtvaring kjem.
Tillit er ein andre, uavhengig kontroll. Eit namnesamsvar rettar ikkje ei ikkje-klarert kjede, eit utløpt sertifikat eller eit sertifikat utstedt for eit anna føremål.
Avgjerd éin: er adressa stabil nok til å vere ein identitet
Om adressa er fast for heile levetida til utrullinga, er eit IP SAN-sertifikat enkelt og ærleg. Om tenesta kan flytte seg, blir kvar flytting ei sertifikatutskifting og ei koordinert klientoppdatering.
Eit stabilt vertsnamn reduserer den koplinga. Klientar brukar namnet, godkjend DNS mappar det til gjeldande adresse, og ei adresseendring sluttar å vere ei identitetsendring. Sertifikatet må framleis fornyast, men URL-en endrar seg ikkje.
Ein administrert hosts-filoppføring kan gje mappinga i eit lite miljø. Det legg til eit distribusjonsansvar; det erstattar ikkje TLS-verifisering.
Avgjerd to: korleis klienten vil stole på utgivaren
For ein privat CA distribuerer du tillitsankeret til dei tiltenkte einingane gjennom ein godkjend mekanisme. Ikkje lær brukarar å klikke seg gjennom åtvaringar eller installere eit sertifikat dei får av ei innloggingsside. Om du vil ha eit offentleg klarert sertifikat, sjekk dei gjeldande reglane til utgivaren for private adresser før du planlegg rundt det. Dei fleste offentlege utgivarar vil ikkje validere eit privat IP som ein offentleg identitet.
Gå gjennom den faktiske nettlesaren eller applikasjonen. Tillitslageret og valideringsåtferda hans betyr meir enn den generelle sertifikatdokumentasjonen til operativsystemet. Kontroller det på den faktiske eininga, ikkje berre i konsollen.
VPN-gatewayen er kanskje ikkje maskina som køyrer webapplikasjonen, så ikkje gå ut frå at sertifikatet til tunnelen har noko med dette å gjere.
Planlegg adresseendringa før ho skjer
Om 10.60.0.25 blir 10.60.0.40, skildrar ikkje det gamle sertifikatet URL-en lenger. Planlegg utskiftinga og klientoppdateringa saman, og deaktiver aldri verifisering under flyttinga.
Vel identiteten brukarane vil skrive, eller applikasjonane vil konfigurere, og juster deretter utgiving, tillit, utrulling og fornying rundt han. Ei tilgjengeleg side med ei avvist åtvaring er ikkje det same resultatet som ei teneste der klienten validerer identiteten.