Certyfikat dla witryny dostępnej tylko przez VPN: DNS-01 czy prywatne CA?

Trzy warunki decydują, jak witryna dostępna tylko przez VPN powinna uzyskać certyfikat: czy kontrolujesz publiczną strefę DNS, czy nazwa hosta może pojawić się w publicznych logach i czy każdemu klientowi można dać prywatną kotwicę zaufania. Ścieżka publiczna i prywatna obie dają działającą kłódkę i odpowiadają na różne pytania. Wybór jednej bez rozstrzygnięcia tych warunków to sposób, w jaki witryna kończy z publicznym certyfikatem, którego nie chciała, albo z wewnętrznym, który odrzuca połowa klientów.

Certyfikat dowodzi nazwy; VPN i wewnętrzny DNS zapewniają drogę.

Dwie drogi do zaufanej nazwy

Publiczny wystawca z walidacją DNS-01 dowodzi kontroli nad nazwą przez rekord TXT w strefie, którą kontrolujesz, więc usługa internetowa nigdy nie musi przyjąć publicznego połączenia HTTP. Prywatne CA wystawia certyfikaty liścia dla nazw wewnętrznych i rozprowadza swoją kotwicę zaufania przez zarządzanie urządzeniami, więc żaden publiczny log nie poznaje nazwy. Oba są legalne, a wybór wynika z tych trzech warunków, a nie z wygody. Żadna ze ścieżek nie dostarcza trasy ani wpisu resolvera, którego potrzebuje klient.

Publiczny certyfikat publikuje też nazwę hosta w logach przejrzystości certyfikatów. Jeśli sama nazwa jest wrażliwa, to ujawnienie jest decyzją projektową, a nie skutkiem ubocznym odkrywanym później.

DNS-01 bez ujawniania usługi

Rekord wyzwania to wpis TXT pod zarezerwowanym prefiksem w strefie, a wystawca czyta go z autorytatywnego DNS. Wybierz klienta ACME i integrację DNS, które potrafią utworzyć i usunąć ten rekord, i upoważnij aktualizację wąsko: ograniczone dane API dla strefy albo kontrolowany host używany tylko do walidacji. Danie serwerowi aplikacji nieograniczonych danych rejestratora do odnowienia jednego certyfikatu to znacznie więcej uprawnień, niż wymaga zadanie. Gdy kilka zamówień dzieli jedną nazwę, trzymaj ich wartości TXT osobno, aby sprzątanie jednej nie usunęło wartości, której inna wciąż potrzebuje.

Poczekaj na propagację z kontrolą wobec serwerów autorytatywnych, a nie ze stałym opóźnieniem. Zachowanie propagacji zależy od dostawcy, a opóźnienie, które działa dziś, nie jest dowodem na jutro.

Klienci zarządzani i celowo prywatne nazwy

Zarządzane urządzenia i celowo prywatne nazwy dobrze pasują do wewnętrznego CA. Rozprowadź zaufanego wystawcę przez zarządzanie urządzeniami, a następnie wystawiaj certyfikaty liścia dla zamierzonych nazw. Sprawdź, którego magazynu każdy klient naprawdę używa, bo jeden import w systemie operacyjnym nie jest uniwersalnym twierdzeniem o każdej przeglądarce i aplikacji. Przypinanie liścia to inna opcja tam, gdzie jest wprost obsługiwane, za cenę kolejnej aktualizacji zaufania przy każdej zmianie liścia.

Kanał dystrybucji liczy się tak samo jak klucz: korzeń, którego nikt nie instaluje, niczego nie chroni.

Odnowienie jest częścią projektu

Niezależnie od wybranej ścieżki odnowienie wymaga właściciela i procedury. Odświeżenie dowodu walidacji, zainstalowanie nowego materiału i ponowne wczytanie nasłuchu przez jego obsługiwany mechanizm to trzy osobne kroki, a tylko pierwszy automatyzuje większość klientów ACME. Certyfikat, który odnawia się poprawnie, ale nigdy nie jest wczytywany, powoduje taką samą awarię jak wygasły.

Certyfikat nie instaluje trasy VPN ani nie tworzy wewnętrznego rekordu DNS. Klienci nadal potrzebują resolvera, który mapuje nazwę na adres prywatny, i trasy, aby do niego dotrzeć. Przetestuj witrynę po nazwie z klienta, który ma oba.

Zapisz wystawcę, metodę walidacji, kanał dystrybucji zaufania i mechanizm ponownego wczytywania. Te cztery to plan odnowienia.