Un certificat pentru un site doar prin VPN: DNS-01 sau CA privată?

Trei condiții decid cum ar trebui să își obțină certificatul un site disponibil doar prin VPN: dacă controlați o zonă DNS publică, dacă numele gazdă poate apărea în jurnale publice și dacă fiecărui client i se poate da o ancoră de încredere privată. Ruta publică și cea privată produc ambele un lacăt funcțional și răspund la întrebări diferite. Să alegi una fără a lămuri aceste condiții este felul în care un site ajunge cu un certificat public pe care nu îl dorea, sau cu unul intern pe care jumătate dintre clienți îl resping.

Certificatul dovedește numele; VPN-ul și DNS-ul intern asigură calea.

Două rute către un nume de încredere

Un emitent public cu validare DNS-01 dovedește controlul asupra unui nume printr-o înregistrare TXT într-o zonă pe care o controlați, astfel încât serviciul web nu trebuie niciodată să accepte o conexiune HTTP publică. O CA privată emite certificate frunză pentru nume interne și își distribuie ancora de încredere prin administrarea dispozitivelor, astfel încât niciun jurnal public nu află numele. Ambele sunt legitime, iar alegerea decurge din acele trei condiții, nu din comoditate. Niciuna dintre rute nu furnizează ruta sau intrarea de resolver de care are nevoie un client.

Un certificat public publică, de asemenea, numele gazdă în jurnalele de transparență a certificatelor. Dacă numele în sine este sensibil, acea dezvăluire este o decizie de proiectare, nu un efect secundar descoperit mai târziu.

DNS-01 fără a expune serviciul

Înregistrarea provocării este o intrare TXT sub un prefix rezervat în zonă, iar emitentul o citește din DNS autoritativ. Alegeți un client ACME și o integrare DNS care pot crea și elimina acea înregistrare și autorizați actualizarea îngust: o acreditare API cu sferă limitată pentru zonă sau un gazdă controlată folosită doar pentru validare. A da serverului de aplicații o acreditare de registrator fără restricții pentru a reînnoi un singur certificat este mult mai multă autoritate decât cere sarcina. Când mai multe comenzi împart un nume, păstrați valorile TXT separate, astfel încât curățarea uneia să nu elimine o valoare de care alta are încă nevoie.

Așteptați propagarea cu o verificare împotriva serverelor autoritative în loc de o pauză fixă. Comportamentul de propagare depinde de furnizor, iar o pauză care funcționează azi nu este dovadă despre mâine.

Clienți administrați și nume intenționat private

Dispozitivele administrate și numele intenționat private se potrivesc bine cu o CA internă. Distribuiți emitentul de încredere prin administrarea dispozitivelor, apoi emiteți certificate frunză pentru numele dorite. Verificați ce depozit folosește efectiv fiecare client, pentru că o singură importare în sistemul de operare nu este o afirmație universală despre fiecare browser și aplicație. Fixarea frunzei este o altă opțiune acolo unde este acceptată explicit, cu prețul unei alte actualizări de încredere de fiecare dată când frunza se schimbă.

Canalul de distribuție contează la fel de mult ca cheia: o rădăcină pe care nimeni nu o instalează nu protejează nimic.

Reînnoirea face parte din proiectare

Indiferent de ruta aleasă, reînnoirea are nevoie de un proprietar și de o procedură. Reîmprospătarea dovezii de validare, instalarea materialului nou și reîncărcarea ascultătorului prin mecanismul său acceptat sunt trei pași separați, iar doar primul este automatizat de majoritatea clienților ACME. Un certificat care se reînnoiește corect, dar nu este niciodată încărcat, produce aceeași întrerupere ca unul expirat.

Certificatul nu instalează ruta VPN și nu creează înregistrarea DNS internă. Clienții au în continuare nevoie de un resolver care asociază numele cu adresa privată și de o rută pentru a ajunge acolo. Testați site-ul după nume de la un client care are ambele.

Notați emitentul, metoda de validare, canalul de distribuție a încrederii și mecanismul de reîncărcare. Acelea patru sunt planul de reînnoire.