Сертификат за сајт доступан само преко VPN-а: DNS-01 или приватни CA?

Три услова одређују како сајт доступан само преко VPN-а треба да добије свој сертификат: да ли контролишете јавну DNS зону, да ли се име хоста сме појавити у јавним записима и да ли се сваком клијенту може дати приватно сидро поверења. Јавни и приватни пут оба дају катанац који ради и одговарају на различита питања. Изабрати један без решавања тих услова је начин на који сајт заврши са јавним сертификатом који није желео, или са интерним који половина клијената одбија.

Сертификат доказује име; VPN и интерни DNS обезбеђују пут.

Два пута до поузданог имена

Јавни издавач са валидацијом DNS-01 доказује контролу над именом кроз TXT запис у зони коју контролишете, тако да веб услуга никада не мора да прихвати јавну HTTP везу. Приватни CA издаје листне сертификате за интерна имена и дистрибуира своје сидро поверења кроз управљање уређајима, тако да ниједан јавни запис не сазна име. Оба су легитимна, а избор произлази из та три услова, а не из удобности. Ниједан пут не обезбеђује руту ни унос у резолверу који је клијенту потребан.

Јавни сертификат такође објављује име хоста у записима транспарентности сертификата. Ако је само име осетљиво, то откривање је дизајнерска одлука, а не нуспојава коју ћете открити касније.

DNS-01 без излагања услуге

Запис изазова је TXT унос под резервисаним префиксом у зони, и издавач га чита са ауторитативног DNS-а. Изаберите ACME клијент и DNS интеграцију који могу да створе и уклоне тај запис и уско овластите ажурирање: ограничени API акредитиви за зону или контролисани хост који се користи само за валидацију. Дати апликационом серверу неограничене регистрарске акредитиве за обнову једног сертификата далеко је више овлашћења него што задатак тражи. Када више наруџбина дели име, држите њихове TXT вредности одвојене да чишћење једне не уклони вредност која је другој још потребна.

Сачекајте пропагацију са провером према ауторитативним серверима уместо са фиксним чекањем. Понашање пропагације зависи од добављача, а чекање које ради данас није доказ за сутра.

Управљани клијенти и намерно приватна имена

Управљани уређаји и намерно приватна имена добро одговарају интерном CA-у. Дистрибуирајте поузданог издавача кроз управљање уређајима, затим издајте листне сертификате за предвиђена имена. Проверите које складиште сваки клијент стварно користи, јер један увоз у оперативни систем није универзална тврдња о сваком прегледачу и апликацији. Закачињање листа је друга опција где је изричито подржано, по цени још једног ажурирања поверења кад год се лист промени.

Канал дистрибуције је једнако важан као кључ: корен који нико не инсталира не штити ништа.

Обнова је део дизајна

Који год пут изабрали, обнова захтева власника и поступак. Освежавање доказа валидације, инсталирање новог материјала и поновно учитавање слушаоца кроз његов подржани механизам су три одвојена корака, и само први већина ACME клијената аутоматизује. Сертификат који се исправно обнавља али никада не учитава производи исти прекид као онај који је истекао.

Сертификат не инсталира VPN руту нити ствара интерни DNS запис. Клијентима је и даље потребан резолвер који име пресликава на приватну адресу и рута да до њега стигну. Тестирајте сајт по имену са клијента који има обоје.

Забележите издавача, метод валидације, канал дистрибуције поверења и механизам поновног учитавања. Та четири су план обнове.