HTTPS ไปยัง IP ส่วนตัว: ตัวตนของใบรับรองหรือชื่อโฮสต์

บริการของคุณที่ https://10.60.0.25 สามารถมี TLS ที่ผ่านการรับรองได้แม้ไม่มีชื่อ DNS ที่อยู่คือตัวตนที่ไคลเอนต์ต้องตรวจสอบ และใบรับรองต้องอธิบายอย่างถูกต้อง การตัดสินใจคือที่อยู่นั้นมั่นคงพอที่จะเป็นตัวตนหรือไม่ หรือชื่อโฮสต์จะดูแลง่ายกว่า VPN ตอบเรื่องการเข้าถึง แต่ไม่ตอบคำถามนี้

จัดตัวตนและความเชื่อมั่นให้ถูกต้อง แล้ว URL ที่อิง IP ก็เป็นการออกแบบที่ชอบธรรม

สิ่งที่ไคลเอนต์ตรวจสอบจริง

ไคลเอนต์เปรียบเทียบตัวตนอ้างอิงใน URL กับชื่อทางเลือกของหัวเรื่องในใบรับรอง สำหรับที่อยู่ IP หมายถึงรายการ iPAddress ที่เท่ากับที่อยู่ ชื่อสามัญที่เป็นมิตรไม่ใช่สิ่งทดแทน

RFC 9525 แยกตัวตนของที่อยู่ IP ออกจากชื่อ DNS และกำหนดกฎการจับคู่ การใส่ที่อยู่ในป้ายหัวเรื่องเท่านั้น หรือเป็นรายการประเภท DNS ไม่ทำให้เกิดการจับคู่ จึงต้องตรวจดู SAN เมื่อมีคำเตือน

ความเชื่อมั่นคือการตรวจสอบที่สองที่เป็นอิสระ การจับคู่ชื่อไม่แก้ไขห่วงโซ่ที่ไม่น่าเชื่อถือ ใบรับรองที่หมดอายุ หรือใบรับรองที่ออกเพื่อวัตถุประสงค์อื่น

การตัดสินใจข้อหนึ่ง: ที่อยู่นั้นมั่นคงพอที่จะเป็นตัวตนหรือไม่

หากที่อยู่คงที่ตลอดอายุการติดตั้ง ใบรับรอง SAN IP ก็เรียบง่ายและซื่อตรง หากบริการย้ายที่ได้ ทุกการย้ายจะกลายเป็นการเปลี่ยนใบรับรองและการอัปเดตไคลเอนต์ที่ประสานกัน

ชื่อโฮสต์ที่มั่นคงลดการเชื่อมโยงนั้น ไคลเอนต์ใช้ชื่อ DNS ที่ได้รับอนุมัติจะแมปชื่อนั้นกับที่อยู่ปัจจุบัน และการเปลี่ยนที่อยู่ก็ไม่ใช่การเปลี่ยนตัวตนอีกต่อไป ใบรับรองยังต้องต่ออายุ แต่ URL ไม่เปลี่ยน

รายการไฟล์ hosts ที่จัดการได้สามารถให้การแมปในสภาพแวดล้อมเล็ก ๆ ได้ มันเพิ่มความรับผิดชอบในการเผยแพร่ แต่ไม่แทนที่การตรวจสอบ TLS

การตัดสินใจข้อสอง: ไคลเอนต์จะเชื่อถือผู้ออกใบรับรองอย่างไร

สำหรับ CA ส่วนตัว ให้เผยแพร่สมอความเชื่อมั่นไปยังอุปกรณ์เป้าหมายผ่านกลไกที่ได้รับอนุมัติ อย่าสอนให้ผู้ใช้ข้ามคำเตือนหรือติดตั้งใบรับรองที่หน้าเข้าสู่ระบบมอบให้ หากต้องการใบรับรองที่ได้รับความเชื่อมั่นสาธารณะ ให้ตรวจกฎปัจจุบันของผู้ออกใบรับรองสำหรับที่อยู่ส่วนตัวก่อนวางแผน ทั้งนี้ผู้ออกใบรับรองสาธารณะส่วนใหญ่จะไม่รับรอง IP ส่วนตัวเป็นตัวตนสาธารณะ

ตรวจสอบเบราว์เซอร์หรือแอปพลิเคชันจริง ที่เก็บความเชื่อมั่นและพฤติกรรมการตรวจสอบสำคัญกว่าเอกสารใบรับรองทั่วไปของระบบปฏิบัติการ ตรวจสอบบนอุปกรณ์จริง ไม่ใช่เพียงในคอนโซล

เกตเวย์ VPN อาจไม่ใช่เครื่องที่รันเว็บแอปพลิเคชัน ดังนั้นอย่าสันนิษฐานว่าใบรับรองของอุโมงค์เกี่ยวข้องกับสิ่งนี้

วางแผนการเปลี่ยนที่อยู่ก่อนจะเกิดขึ้น

หาก 10.60.0.25 กลายเป็น 10.60.0.40 ใบรับรองเดิมจะไม่อธิบาย URL อีกต่อไป วางแผนการเปลี่ยนและการอัปเดตไคลเอนต์ไปพร้อมกัน และอย่าปิดการตรวจสอบระหว่างการย้าย

เลือกตัวตนที่ผู้ใช้จะพิมพ์หรือแอปพลิเคชันจะกำหนดค่า จากนั้นจัดให้การออกใบรับรอง ความเชื่อมั่น การติดตั้ง และการต่ออายุสอดคล้องกัน หน้าที่เข้าถึงได้พร้อมคำเตือนที่ถูกปิดไม่ใช่ผลลัพธ์เดียวกับบริการที่ไคลเอนต์ตรวจสอบตัวตน