Një certifikatë për një sajt vetëm përmes VPN: DNS-01 apo CA private?

Tre kushte përcaktojnë se si një sajt i arritshëm vetëm përmes VPN duhet të marrë certifikatën e tij: nëse kontrolloni një zonë publike DNS, nëse emri i hostit mund të shfaqet në regjistra publikë, dhe nëse çdo klienti mund t'i jepet një spirancë private besimi. Rruga publike dhe ajo private të dyja prodhojnë një dry që funksionon dhe përgjigjen pyetjeve të ndryshme. Të zgjedhësh njërën pa zgjidhur ato kushte është mënyra se si një sajt përfundon me një certifikatë publike që nuk e donte, ose me një të brendshme që gjysma e klientëve e refuzojnë.

Certifikata vërteton emrin; VPN-ja dhe DNS-ja e brendshme ofrojnë rrugën.

Dy rrugë drejt një emri të besueshëm

Një lëshues publik me validim DNS-01 vërteton kontrollin mbi një emër përmes një regjistri TXT në një zonë që ju kontrolloni, kështu që shërbimi web nuk duhet të pranojë kurrë një lidhje publike HTTP. Një CA private lëshon certifikata gjethe për emra të brendshëm dhe shpërndan spirancën e saj të besimit përmes menaxhimit të pajisjeve, kështu që asnjë regjistër publik nuk e mëson emrin. Të dyja janë legjitime, dhe zgjedhja rrjedh nga ato tre kushte, jo nga komoditeti. Asnjëra rrugë nuk siguron rrugën ose zërin e zgjidhësit që i nevojitet një klienti.

Një certifikatë publike publikon gjithashtu emrin e hostit në regjistrat e transparencës së certifikatave. Nëse vetë emri është i ndjeshëm, ai zbulim është një vendim dizajni dhe jo një efekt anësor që zbulohet më vonë.

DNS-01 pa ekspozuar shërbimin

Regjistri i sfidës është një zë TXT nën një parashtesë të rezervuar në zonë, dhe lëshuesi e lexon atë nga DNS autoritativ. Zgjidhni një klient ACME dhe një integrim DNS që mund të krijojnë dhe heqin atë regjistër, dhe autorizoni përditësimin në mënyrë të ngushtë: një kredencial API me shtrirje të kufizuar për zonën, ose një host i kontrolluar që përdoret vetëm për validim. T'i japësh serverit të aplikacionit një kredencial regjistruesi pa kufizime për të rinovuar një certifikatë të vetme është shumë më tepër autoritet sesa kërkon detyra. Kur disa porosi ndajnë një emër, mbajini vlerat e tyre TXT të ndara, në mënyrë që pastrimi i njërës të mos heqë një vlerë që tjetra ka ende nevojë.

Prisni përhapjen me një kontroll ndaj serverëve autoritativë në vend të një pauze fikse. Sjellja e përhapjes varet nga ofruesi, dhe një pauzë që funksionon sot nuk është provë për nesër.

Klientë të menaxhuar dhe emra qëllimisht privatë

Pajisjet e menaxhuara dhe emrat qëllimisht privatë përshtaten mirë me një CA të brendshme. Shpërndani lëshuesin e besueshëm përmes menaxhimit të pajisjeve, pastaj lëshoni certifikata gjethe për emrat e synuar. Kontrolloni cilën depo përdor vërtet çdo klient, sepse një import i vetëm në sistemin operativ nuk është një pohim universal për çdo shfletues dhe aplikacion. Fiksimi i gjethes është një opsion tjetër aty ku mbështetet shprehimisht, me koston e një përditësimi tjetër të besimit sa herë që gjetja ndryshon.

Kanali i shpërndarjes ka po aq rëndësi sa çelësi: një rrënjë që askush nuk e instalon nuk mbron asgjë.

Rinovimi është pjesë e dizajnit

Cilën rrugë të zgjidhni, rinovimi kërkon një pronar dhe një procedurë. Rifreskimi i provës së validimit, instalimi i materialit të ri dhe ringarkimi i dëgjuesit përmes mekanizmit të tij të mbështetur janë tre hapa të veçantë, dhe vetëm i pari automatizohet nga shumica e klientëve ACME. Një certifikatë që rinovohet saktë por nuk ngarkohet kurrë prodhon të njëjtin ndërprerje si një e skaduar.

Certifikata nuk instalon rrugën e VPN-së dhe nuk krijon regjistrin e brendshëm DNS. Klientët kanë ende nevojë për një zgjidhës që e harton emrin në adresën private dhe një rrugë për të arritur atje. Testoni sajtin sipas emrit nga një klient që i ka të dyja.

Regjistroni lëshuesin, metodën e validimit, kanalin e shpërndarjes së besimit dhe mekanizmin e ringarkimit. Ato katër janë plani i rinovimit.