Certifikát pre web len cez VPN: DNS-01, alebo vlastná CA?

O tom, ako má web dostupný len cez VPN získať certifikát, rozhodujú tri podmienky: či ovládate verejnú DNS zónu, či sa názov hostiteľa smie objaviť vo verejných záznamoch a či možno každému klientovi dodať privátne ukotvenie dôvery. Verejná aj privátna cesta obe vedú k funkčnej visiacej zámke a odpovedajú na rôzne otázky. Vybrať si jednu bez vyriešenia týchto podmienok je spôsob, akým web skončí s verejným certifikátom, ktorý nechcel, alebo s interným, ktorý polovica klientov odmietne.

Certifikát preukazuje názov; VPN a interný DNS poskytujú cestu.

Dve cesty k dôveryhodnému názvu

Verejný vydavateľ s validáciou DNS-01 preukazuje kontrolu nad názvom pomocou záznamu TXT v zóne, ktorú ovládate, takže webová služba nikdy nemusí prijať verejné HTTP spojenie. Vlastná CA vydáva koncové certifikáty pre interné názvy a distribuuje svoje ukotvenie dôvery prostredníctvom správy zariadení, takže názov sa nedozvie žiadny verejný záznam. Obe sú legitímne a voľba vyplýva z tých troch podmienok, nie z pohodlia. Ani jedna cesta nedodá trasu ani položku v prekladači, ktorú klient potrebuje.

Verejný certifikát tiež zverejňuje názov hostiteľa v záznamoch transparentnosti certifikátov. Ak je citlivý samotný názov, toto zverejnenie je rozhodnutie v návrhu, nie vedľajší efekt, ktorý objavíte neskôr.

DNS-01 bez vystavenia služby

Záznam výzvy je položka TXT pod vyhradenou predponou v zóne a vydavateľ ho číta z autoritatívneho DNS. Vyberte klienta ACME a integráciu DNS, ktoré dokážu tento záznam vytvoriť a odstrániť, a aktualizáciu povoľte úzko: obmedzený API údaj pre zónu, alebo riadený hostiteľ používaný len na validáciu. Dať aplikačnému serveru neobmedzený registrátorský údaj na obnovu jediného certifikátu je oveľa väčšie oprávnenie, než úloha potrebuje. Keď niekoľko objednávok zdieľa názov, udržujte ich hodnoty TXT oddelené, aby upratovanie jednej neodstránilo hodnotu, ktorú iná ešte potrebuje.

Na propagáciu počkajte s kontrolou proti autoritatívnym serverom, nie s pevným spánkom. Správanie propagácie závisí od poskytovateľa a spánok, ktorý funguje dnes, nie je dôkazom o zajtrajšku.

Spravovaní klienti a zámerne privátne názvy

Spravované zariadenia a zámerne privátne názvy sa k internej CA hodia dobre. Distribuujte dôveryhodného vydavateľa cez správu zariadení a potom vydávajte koncové certifikáty pre zamýšľané názvy. Overte, ktoré úložisko každý klient skutočne používa, pretože jeden import v operačnom systéme nie je univerzálne tvrdenie o každom prehliadači a aplikácii. Pripnutie koncového certifikátu je ďalšia možnosť tam, kde je výslovne podporované, za cenu ďalšej aktualizácie dôvery pri každej zmene koncového certifikátu.

Distribučný kanál je rovnako dôležitý ako kľúč: koreň, ktorý nikto nenainštaluje, nič nechráni.

Obnova je súčasťou návrhu

Nech si vyberiete akúkoľvek cestu, obnova potrebuje vlastníka a postup. Obnovenie dôkazu validácie, inštalácia nového materiálu a opätovné načítanie poslucháča jeho podporovaným mechanizmom sú tri samostatné kroky a len prvý väčšina klientov ACME automatizuje. Certifikát, ktorý sa obnovuje správne, ale nikdy sa nenačíta, spôsobí rovnaký výpadok ako ten, ktorému vypršala platnosť.

Certifikát nenainštaluje trasu VPN ani nevytvorí interný záznam DNS. Klienti stále potrebujú prekladač, ktorý názov mapuje na privátnu adresu, a trasu, aby sa k nemu dostali. Vyskúšajte web podľa názvu z klienta, ktorý má oboje.

Zapíšte vydavateľa, metódu validácie, distribučný kanál dôvery a mechanizmus opätovného načítania. Tie štyri veci sú plán obnovy.