Potrdilo za spletno mesto samo prek VPN: DNS-01 ali zasebna CA?

Trije pogoji odločajo, kako naj spletno mesto, dostopno samo prek VPN, pridobi svoje potrdilo: ali upravljate javno cono DNS, ali se ime gostitelja sme pojaviti v javnih dnevnikih in ali je mogoče vsakemu odjemalcu dati zasebno sidro zaupanja. Javna in zasebna pot obe ustvarita delujočo ključavnico in odgovarjata na različna vprašanja. Izbrati eno, ne da bi razrešili te pogoje, je način, kako mesto konča z javnim potrdilom, ki ga ni hotelo, ali z internim, ki ga polovica odjemalcev zavrne.

Potrdilo dokazuje ime; VPN in notranji DNS zagotavljata pot.

Dve poti do zaupanja vrednega imena

Javni izdajatelj z validacijo DNS-01 dokaže nadzor nad imenom z zapisom TXT v coni, ki jo upravljate, zato spletna storitev nikoli ne sme sprejeti javne povezave HTTP. Zasebna CA izda listna potrdila za notranja imena in svoje sidro zaupanja razširja prek upravljanja naprav, zato noben javni dnevnik ne izve imena. Obe sta zakoniti in izbira izhaja iz teh treh pogojev, ne iz priročnosti. Nobena pot ne zagotovi poti ali vnosa v razreševalniku, ki ga odjemalec potrebuje.

Javno potrdilo objavi tudi ime gostitelja v dnevnikih preglednosti potrdil. Če je ime samo občutljivo, je to razkritje oblikovalska odločitev in ne stranski učinek, ki ga odkrijete pozneje.

DNS-01 brez razkritja storitve

Zapis izziva je vnos TXT pod rezervirano predpono v coni in izdajatelj ga bere iz avtoritativnega DNS. Izberite odjemalca ACME in integracijo DNS, ki lahko ustvarita in odstranita ta zapis, in posodobitev dovolite ozko: omejene poverilnice API za cono ali nadzorovani gostitelj, ki se uporablja samo za validacijo. Dati aplikacijskemu strežniku neomejene poverilnice registrarja za podaljšanje enega potrdila je veliko več pooblastil, kot jih naloga potrebuje. Ko si več naročil deli ime, imejte njihove vrednosti TXT ločene, da čiščenje ene ne odstrani vrednosti, ki jo druga še potrebuje.

Počakajte na razširjanje s preverjanjem pri avtoritativnih strežnikih, ne s fiksno zakasnitvijo. Vedenje razširjanja je odvisno od ponudnika in zakasnitev, ki deluje danes, ni dokaz za jutri.

Upravljani odjemalci in namerno zasebna imena

Upravljane naprave in namerno zasebna imena se dobro prilegajo notranji CA. Razširite zaupanja vrednega izdajatelja prek upravljanja naprav, nato izdajte listna potrdila za predvidena imena. Preverite, katero shrambo vsak odjemalec resnično uporablja, ker en uvoz v operacijskem sistemu ni univerzalna trditev o vsakem brskalniku in aplikaciji. Pripenjanje lista je druga možnost, kjer je izrecno podprto, za ceno še ene posodobitve zaupanja ob vsaki spremembi lista.

Distribucijski kanal je enako pomemben kot ključ: korenina, ki je nihče ne namesti, ne zaščiti ničesar.

Podaljšanje je del zasnove

Katero koli pot izberete, podaljšanje potrebuje lastnika in postopek. Osvežitev dokaza o validaciji, namestitev novega gradiva in ponovno nalaganje poslušalca prek njegovega podprtega mehanizma so trije ločeni koraki in samo prvega večina odjemalcev ACME avtomatizira. Potrdilo, ki se pravilno podaljša, a ni nikoli naloženo, povzroči enako prekinitev kot poteklo.

Potrdilo ne namesti poti VPN in ne ustvari notranjega zapisa DNS. Odjemalci še vedno potrebujejo razreševalnik, ki ime preslika v zasebni naslov, in pot, da pridejo do njega. Preizkusite mesto po imenu z odjemalca, ki ima oboje.

Zabeležite izdajatelja, metodo validacije, kanal distribucije zaupanja in mehanizem ponovnega nalaganja. Ti štirje so načrt podaljšanja.