HTTPS do zasebnega IP: identiteta potrdila ali ime gostitelja?
Zasebni IP je lahko veljavna identiteta TLS, če potrdilo tako navaja. Izberite med IP SAN in stabilnim imenom gostitelja, nato načrtujte spremembo naslova.
Vaša storitev na https://10.60.0.25 ima lahko overjen TLS tudi brez imena DNS. Naslov je identiteta, ki jo mora odjemalec preveriti, in potrdilo jo mora natančno opisati. Odločitev je, ali je ta naslov dovolj stabilen, da je identiteta, ali bi bilo ime gostitelja lažje vzdrževati. VPN odgovarja na dosegljivost; na to ne odgovarja.
Identiteto in zaupanje nastavite pravilno in URL na osnovi IP je legitimna zasnova.
Kaj odjemalec dejansko preverja
Odjemalec primerja referenčno identiteto v URL z alternativnimi imeni subjekta potrdila. Za naslov IP to pomeni vnos iPAddress, enak naslovu. Prijazno splošno ime tega ne nadomesti.
RFC 9525 ločuje identitete naslovov IP od imen DNS in določa pravilo ujemanja. Če je naslov naveden le v oznaki subjekta ali kot vnos vrste DNS, ujemanje ne nastane. Zato je SAN tisto polje, ki ga je treba pregledati, ko se pojavi opozorilo.
Zaupanje je drugo, neodvisno preverjanje. Ujemanje imena ne popravi nezaupanja vredne verige, poteklega potrdila ali potrdila, izdanega za drug namen.
Prva odločitev: je naslov dovolj stabilen, da je identiteta
Če je naslov fiksen za celotno življenjsko dobo uvedbe, je potrdilo SAN IP preprosto in pošteno. Če se storitev lahko premakne, vsaka selitev postane zamenjava potrdila in usklajena posodobitev odjemalcev.
Stabilno ime gostitelja zmanjša to povezanost. Odjemalci uporabljajo ime, odobreni DNS ga preslika v trenutni naslov in sprememba naslova preneha biti sprememba identitete. Potrdilo je treba še vedno obnoviti, vendar se URL ne spremeni.
Upravljani vnos v datoteki hosts lahko zagotovi preslikavo v majhnem okolju. Doda odgovornost za distribucijo; ne nadomesti preverjanja TLS.
Druga odločitev: kako bo odjemalec zaupal izdajatelju
Za zasebni CA razširite sidro zaupanja na predvidene naprave z odobrenim mehanizmom. Uporabnikov ne učite preskakovati opozoril ali nameščati potrdila, ki jim ga izroči prijavna stran. Če želite javno zaupanja vredno potrdilo, pred načrtovanjem preverite trenutna pravila izdajatelja za zasebne naslove. Večina javnih izdajateljev zasebnega IP ne bo overila kot javno identiteto.
Preglejte dejanski brskalnik ali aplikacijo. Njegovo shrambo zaupanja in vedenje pri preverjanju sta pomembnejša od splošne dokumentacije o potrdilih operacijskega sistema. Preverite ga na dejanski napravi, ne le v konzoli.
Prehod VPN morda ni stroj, ki izvaja spletno aplikacijo, zato ne domnevajte, da ima potrdilo tunela s tem kaj opraviti.
Spremembo naslova načrtujte, preden se zgodi
Če 10.60.0.25 postane 10.60.0.40, staro potrdilo ne opisuje več URL. Zamenjavo in posodobitev odjemalca načrtujte skupaj in med selitvijo nikoli ne izklopite preverjanja.
Izberite identiteto, ki jo bodo uporabniki vnesli ali jo bodo aplikacije nastavile, nato okoli nje uskladite izdajanje, zaupanje, uvedbo in obnovo. Dostopna stran z zavrnjenim opozorilom ni enak rezultat kot storitev, katere identiteto odjemalec preveri.