HTTPS kwa IP ya kibinafsi: utambulisho wa cheti au jina la mwenyeji?
IP ya kibinafsi inaweza kuwa utambulisho halali wa TLS ikiwa cheti kinasema hivyo. Chagua kati ya SAN ya IP na jina la mwenyeji thabiti, kisha panga mabadiliko ya anwani.
Huduma yako kwenye https://10.60.0.25 inaweza kuwa na TLS iliyothibitishwa hata bila jina la DNS. Anwani ndiyo utambulisho ambao mteja anapaswa kuthibitisha, na cheti lazima kieleze kwa usahihi. Uamuzi ni kama anwani hiyo ni thabiti vya kutosha kuwa utambulisho, au jina la mwenyeji lingekuwa rahisi kudumisha. VPN hujibu ufikivu; haijibu hili.
Rekebisha utambulisho na uaminifu, na URL inayotegemea IP ni muundo halali.
Mteja huthibitisha nini hasa
Mteja hulinganisha utambulisho wa rejea kwenye URL na majina mbadala ya somo la cheti. Kwa anwani ya IP, hiyo inamaanisha ingizo la iPAddress sawa na anwani. Jina la kawaida la kirafiki si badala yake.
RFC 9525 hutenganisha utambulisho wa anwani za IP na majina ya DNS na kufafanua kanuni ya ulinganifu. Kuweka anwani kwenye lebo ya somo pekee, au kama ingizo la aina ya DNS, hakuzalishi ulinganifu. Ndiyo sababu SAN ni sehemu ya kukagua wakati onyo linapotokea.
Uaminifu ni ukaguzi wa pili, huru. Ulinganifu wa jina haurekebishi mnyororo usioaminika, cheti kilichoisha muda au cheti kilichotolewa kwa madhumuni mengine.
Uamuzi wa kwanza: je, anwani ni thabiti vya kutosha kuwa utambulisho
Ikiwa anwani ni thabiti katika maisha yote ya usambazaji, cheti cha SAN ya IP ni rahisi na cha uaminifu. Ikiwa huduma inaweza kuhama, kila uhamisho unakuwa uingizwaji wa cheti na usasishaji wa mteja ulioratibiwa.
Jina la mwenyeji thabiti hupunguza muunganiko huo. Wateja hutumia jina, DNS iliyoidhinishwa huipanga kwa anwani ya sasa, na mabadiliko ya anwani huacha kuwa mabadiliko ya utambulisho. Cheti bado kinahitaji kuhuishwa, lakini URL haibadiliki.
Ingizo la faili la hosts linalosimamiwa linaweza kutoa ramani katika mazingira madogo. Linaongeza jukumu la usambazaji; halibadilishi uthibitishaji wa TLS.
Uamuzi wa pili: jinsi mteja atakavyomwamini mtoaji
Kwa CA ya kibinafsi, sambaza nanga ya uaminifu kwa vifaa vilivyokusudiwa kupitia utaratibu ulioidhinishwa. Usiwafundishe watumiaji kuzuka maonyo au kufunga cheti wanachopewa na ukurasa wa kuingia. Ikiwa unataka cheti kinachoaminika hadharani, angalia kanuni za sasa za mtoaji kwa anwani za kibinafsi kabla ya kupanga. Watoaji wengi wa umma hawatathibitisha IP ya kibinafsi kama utambulisho wa umma.
Kagua kivinjari au programu halisi. Hifadhi yake ya uaminifu na tabia ya uthibitishaji ni muhimu zaidi kuliko nyaraka za jumla za cheti za mfumo wa uendeshaji. Iangalie kwenye kifaa halisi, sio kwenye konsoli pekee.
Lango la VPN linaweza lisiwe mashine inayoendesha programu ya wavuti, kwa hivyo usidhani cheti cha handaki kina uhusiano wowote na hiki.
Panga mabadiliko ya anwani kabla hayajatokea
Ikiwa 10.60.0.25 inakuwa 10.60.0.40, cheti cha zamani hakielezei URL tena. Panga uingizwaji na usasishaji wa mteja pamoja, na usizime uthibitishaji kamwe wakati wa uhamisho.
Chagua utambulisho ambao watumiaji wataandika au programu zitachagiza, kisha oanisha utoaji, uaminifu, usambazaji na uhuishaji kuzunguka huo. Ukurasa unaofikika wenye onyo lililopuuzwa si tokeo sawa na huduma ambayo mteja huthibitisha utambulisho wake.