Eit sertifikat for ein nettstad berre via VPN: DNS-01 eller ein privat CA?

Tre tilhøve avgjer korleis ein nettstad som berre er tilgjengeleg via VPN, bør få sertifikatet sitt: om du kontrollerer ei offentleg DNS-sone, om vertsnamnet kan førekoma i offentlege loggar, og om kvar klient kan få eit privat tillitsanker. Både den offentlege og den private vegen gir ei hengjelås som verkar, og dei svarar på ulike spørsmål. Å velje éin utan å avklare desse tilhøva er måten ein nettstad endar opp med eit offentleg sertifikat han ikkje ville ha, eller eit internt som halvparten av klientane avviser.

Sertifikatet bevisar namnet; VPN-et og den interne DNS-en leverer vegen.

To vegar til eit klarert namn

Ein offentleg utferdar med DNS-01-validering bevisar kontroll over eit namn gjennom ein TXT-post i ei sone du kontrollerer, slik at vektenesta aldri må godta ei offentleg HTTP-tilkopling. Ein privat CA utfendar bladsertifikat for interne namn og distribuerer tillitsankeret sitt gjennom einingstyring, slik at ingen offentleg logg får kjennskap til namnet. Begge er legitime, og valet følgjer av dei tre tilhøva og ikkje av komfort. Ingen av vegane leverer ruta eller resolver-oppføringa ein klient treng.

Eit offentleg sertifikat publiserer også vertsnamnet i loggar for sertifikattransparens. Viss sjølve namnet er kjenslevart, er den avsløringa eit designval og ikkje ein biverknad du oppdagar seinare.

DNS-01 utan å blottleggje tenesta

Utfordringsposten er ein TXT-post under eit reservert prefiks i sona, og utferdaren les han frå autoritativ DNS. Vel ein ACME-klient og DNS-integrasjon som kan opprette og fjerne den posten, og gje oppdateringa snever løyve: ein avgrensa API-legitimasjon for sona, eller ein kontrollert vert som berre blir brukt til validering. Å gje applikasjonsserveren ein ubegrensa registratorlegitimasjon for å fornye eitt sertifikat er langt meir myndigheit enn oppgåva krev. Når fleire bestillingar deler eit namn, hald TXT-verdiane deira åtskilde, slik at opprydding av den eine ikkje fjernar ein verdi den andre framleis treng.

Vent på utbreiinga med ein sjekk mot dei autoritative serverane i staden for ein fast pause. Utbreiingsåtferd er leverandørspesifikk, og ein pause som verkar i dag er ikkje prov om i morgon.

Administrerte klientar og medvite private namn

Administrerte einingar og medvite private namn passar godt til ein intern CA. Distribuer den klarerte utferdaren gjennom einingstyring, og utfend deretter bladsertifikat for dei tiltenkte namna. Undersøk kva lager kvar klient faktisk brukar, for éin import i operativsystemet er ikkje ein universell påstand om alle nettlesarar og program. Bladfesting er eit anna alternativ der det er støtta eksplisitt, til prisen av nok ei tillitsoppdatering kvar gong bladet blir endra.

Distribusjonskanalen tyder like mykje som nøkkelen: ei rot som ingen installerer, vernar ingenting.

Fornying er ein del av designet

Uansett kva veg du vel, treng fornying ein eigar og ein prosedyre. Å fornye valideringsprovet, installere det nye materialet og laste inn lyttaren på nytt gjennom den støtta mekanismen hans er tre separate trinn, og berre det første blir automatisert av dei fleste ACME-klientar. Eit sertifikat som blir fornya rett, men aldri lasta inn, gir same avbrot som eit som er gått ut.

Sertifikatet installer ikkje VPN-ruta og opprettar ikkje den interne DNS-posten. Klientane treng framleis ein resolver som kartlegg namnet til den private adressa, og ei rute for å nå henne. Test nettstaden ved namn frå ein klient som har begge.

Noter utferdaren, valideringsmetoden, tillitsdistribusjonskanalen og innlastingsmekanismen. Dei fire er fornyingsplanen.