HTTPS na privátnu IP: identita certifikátu alebo názov hostiteľa?
Privátna IP môže byť platná identita TLS, ak to certifikát uvádza. Vyberte medzi IP SAN a stabilným názvom hostiteľa a potom naplánujte zmenu adresy.
Vaša služba na https://10.60.0.25 môže mať autentizovaný TLS aj bez názvu DNS. Adresa je identita, ktorú musí klient overiť, a certifikát ju musí presne opísať. Rozhodnutie je, či je táto adresa dostatočne stabilná na to, aby bola identitou, alebo by bolo jednoduchšie udržiavať názov hostiteľa. VPN odpovedá na dostupnosť; na toto neodpovedá.
Nastavte identitu a dôveru správne a URL založená na IP je legitímny návrh.
Čo klient skutočne overuje
Klient porovnáva referenčnú identitu v URL s alternatívnymi menami subjektu certifikátu. Pri IP adrese to znamená záznam iPAddress rovný adrese. Priateľské všeobecné meno ho nenahrádza.
RFC 9525 oddeľuje identity IP adries od názvov DNS a definuje pravidlo zhody. Ak je adresa uvedená len v označení subjektu alebo ako záznam typu DNS, zhoda nevznikne. Preto je SAN to pole, ktoré treba skontrolovať, keď sa objaví upozornenie.
Dôvera je druhá, nezávislá kontrola. Zhoda názvu neopraví nedôveryhodnú reťaz, expirovaný certifikát ani certifikát vydaný na iný účel.
Rozhodnutie prvé: je adresa dostatočne stabilná na to, aby bola identitou
Ak je adresa pevná po celý čas nasadenia, certifikát SAN IP je jednoduchý a čestný. Ak sa služba môže presunúť, každý presun sa stane výmenou certifikátu a koordinovanou aktualizáciou klientov.
Stabilný názov hostiteľa znižuje toto prepojenie. Klienti používajú názov, schválený DNS ho mapuje na aktuálnu adresu a zmena adresy prestáva byť zmenou identity. Certifikát stále potrebuje obnovu, ale URL sa nemení.
Spravovaný záznam v súbore hosts môže zabezpečiť mapovanie v malom prostredí. Pridáva zodpovednosť za distribúciu; nenahrádza overenie TLS.
Rozhodnutie druhé: ako bude klient dôverovať vydavateľovi
Pri privátnej CA distribuujte koreň dôvery zamýšľaným zariadeniam schváleným mechanizmom. Neučte používateľov prechádzať upozorneniami alebo inštalovať certifikát, ktorý im odovzdá prihlasovacia stránka. Ak chcete verejne dôveryhodný certifikát, skontrolujte aktuálne pravidlá vydavateľa pre privátne adresy, skôr než s nimi budete počítať. Väčšina verejných vydavateľov nebude validovať privátnu IP ako verejnú identitu.
Preskúmajte skutočný prehliadač alebo aplikáciu. Jej úložisko dôvery a správanie pri overovaní sú dôležitejšie než všeobecná dokumentácia certifikátov operačného systému. Overte to na skutočnom zariadení, nielen v konzole.
Brána VPN nemusí byť stroj, ktorý spúšťa webovú aplikáciu, preto nepredpokladajte, že certifikát tunela s tým má niečo spoločné.
Naplánujte zmenu adresy skôr, než nastane
Ak sa 10.60.0.25 zmení na 10.60.0.40, starý certifikát už URL neopisuje. Naplánujte výmenu aj aktualizáciu klienta spoločne a počas presunu nikdy nevypínajte overovanie.
Vyberte identitu, ktorú budú používatelia písať alebo ktorú budú aplikácie konfigurovať, a potom okolo nej zosúlaďte vydávanie, dôveru, nasadenie a obnovu. Dostupná stránka s odmietnutým upozornením nie je rovnaký výsledok ako služba, ktorej identitu klient overuje.