HTTPS ка приватном IP-у: идентитет сертификата или име хоста?
Приватна IP адреса може бити важећи TLS идентитет ако сертификат то наводи. Изаберите између IP SAN и стабилног имена хоста, затим испланирајте промену адресе.
Ваша услуга на https://10.60.0.25 може имати аутентификован TLS чак и без DNS имена. Адреса је идентитет који клијент мора да провери, а сертификат мора тачно да је опише. Одлука је да ли је та адреса довољно стабилна да буде идентитет или би име хоста било лакше одржавати. VPN одговара на доступност; на ово не одговара.
Поставите идентитет и поверење исправно и URL заснован на IP-у је легитиман дизајн.
Шта клијент заиста проверава
Клијент пореди референтни идентитет из URL-а са алтернативним именима субјекта у сертификату. За IP адресу то значи запис iPAddress једнак адреси. Пријатељско уобичајено име није замена.
RFC 9525 раздваја идентитете IP адреса од DNS имена и дефинише правило подударања. Ако се адреса наведе само у ознаци субјекта или као запис типа DNS, подударање се не постиже. Зато је SAN поље које треба прегледати када се појави упозорење.
Поверење је друга, независна провера. Подударање имена не поправља непоуздан ланац, истекао сертификат или сертификат издат за другу намену.
Одлука прва: да ли је адреса довољно стабилна да буде идентитет
Ако је адреса фиксна током целог животног века примене, IP SAN сертификат је једноставан и искрен. Ако услуга може да се пресели, свако пресељење постаје замена сертификата и координисано ажурирање клијената.
Стабилно име хоста смањује ту повезаност. Клијенти користе име, одобрени DNS га мапира на тренутну адресу, и промена адресе престаје да буде промена идентитета. Сертификат и даље мора да се обнови, али URL се не мења.
Управљани запис у датотеци hosts може да обезбеди мапирање у малом окружењу. Он додаје одговорност за дистрибуцију; не замењује TLS проверу.
Одлука друга: како ће клијент веровати издаваоцу
За приватни CA, дистрибуирајте сидро поверења на предвиђене уређаје кроз одобрени механизам. Не учите кориснике да прелазе преко упозорења или инсталирају сертификат који им даје страница за пријаву. Ако желите јавно поуздан сертификат, проверите тренутна правила издаваоца за приватне адресе пре него што планирате око њих. Већина јавних издавалаца неће валидирати приватну IP као јавни идентитет.
Прегледајте стварни прегледач или апликацију. Његово складиште поверења и понашање при валидацији важнији су од опште документације о сертификатима оперативног система. Проверите то на стварном уређају, не само у конзоли.
VPN мрежни пролаз можда није машина која извршава веб апликацију, зато не претпостављајте да сертификат тунела има икакве везе са овим.
Испланирајте промену адресе пре него што се догоди
Ако 10.60.0.25 постане 10.60.0.40, стари сертификат више не описује URL. Испланирајте замену и ажурирање клијента заједно и никада не искључујте валидацију током пресељења.
Изаберите идентитет који ће корисници уписивати или апликације конфигурисати, затим ускладите издавање, поверење, примену и обнављање око њега. Доступна страница са одбаченим упозорењем није исти резултат као услуга чији идентитет клијент проверава.