Isang sertipiko para sa site na VPN lamang: DNS-01 o pribadong CA?

Tatlong kondisyon ang nagtatakda kung paano dapat makuha ng site na maaabot lamang sa pamamagitan ng VPN ang sertipiko nito: kung kontrolado mo ang isang pampublikong DNS zone, kung maaaring lumitaw ang hostname sa mga pampublikong log, at kung maaaring bigyan ang bawat kliyente ng pribadong trust anchor. Ang pampubliko at pribadong ruta ay kapwa gumagawa ng gumaganang kandado at sumasagot sa magkaibang tanong. Ang pumili ng isa nang hindi nilulutas ang mga kondisyong iyon ang paraan ng pagtatapos ng isang site sa pampublikong sertipiko na hindi nito gusto, o sa panloob na tinatanggihan ng kalahati ng mga kliyente.

Pinatutunayan ng sertipiko ang pangalan; ang VPN at panloob na DNS ang nagbibigay ng landas.

Dalawang ruta patungo sa pinagkakatiwalaang pangalan

Ang pampublikong issuer na may DNS-01 validation ay nagpapatunay ng kontrol sa isang pangalan sa pamamagitan ng TXT record sa zone na kontrolado mo, kaya hindi kailangang tumanggap ng pampublikong HTTP koneksyon ang web service. Ang pribadong CA ay naglalabas ng leaf certificate para sa panloob na pangalan at ipinapamahagi ang trust anchor nito sa pamamagitan ng pamamahala ng device, kaya walang pampublikong log na nakakaalam ng pangalan. Pareho silang lehitimo, at ang pagpili ay mula sa tatlong kondisyong iyon at hindi sa kaginhawahan. Wala sa mga ruta ang nagbibigay ng rutang o entry ng resolver na kailangan ng kliyente.

Ang pampublikong sertipiko ay naglalathala rin ng hostname sa mga certificate transparency log. Kung sensitibo ang pangalan mismo, ang pagsisiwalat na iyon ay desisyon sa disenyo at hindi side effect na matutuklasan mamaya.

DNS-01 nang hindi inilalantad ang serbisyo

Ang challenge record ay isang TXT entry sa ilalim ng nakareserbang prefix sa zone, at binabasa ito ng issuer mula sa authoritative DNS. Pumili ng ACME client at DNS integration na makakagawa at makakapag-alis ng record na iyon, at pahintulutan ang update nang makitid: isang scoped API credential para sa zone, o isang kontroladong host na ginagamit lamang para sa validation. Ang pagbibigay sa application server ng walang limitasyong registrar credential para i-renew ang isang sertipiko ay higit na awtoridad kaysa kailangan ng gawain. Kapag maraming order ang nagbabahagi ng isang pangalan, panatilihing magkahiwalay ang kanilang TXT values upang ang paglilinis ng isa ay hindi mag-alis ng value na kailangan pa ng iba.

Hintayin ang propagation na may pagsusuri laban sa authoritative server sa halip na fixed sleep. Ang gawi ng propagation ay nakadepende sa provider, at ang sleep na gumagana ngayon ay hindi ebidensya tungkol sa bukas.

Mga pinamamahalaang kliyente at sadyang pribadong pangalan

Ang mga pinamamahalaang device at sadyang pribadong pangalan ay bagay sa panloob na CA. Ipamahagi ang pinagkakatiwalaang issuer sa pamamagitan ng pamamahala ng device, pagkatapos ay maglabas ng leaf certificate para sa mga nilalayong pangalan. Suriin kung aling tindahan ang aktuwal na ginagamit ng bawat kliyente, dahil ang isang import sa operating system ay hindi pangkalahatang pahayag tungkol sa bawat browser at application. Ang leaf pinning ay isa pang opsyon kung saan tahasang sinusuportahan ito, kapalit ng isa pang update ng tiwala tuwing magbabago ang leaf.

Ang channel ng pamamahagi ay kasinghalaga ng susi: ang root na walang nag-iinstall ay walang pinoprotektahan.

Bahagi ng disenyo ang pag-renew

Anuman ang rutang piliin mo, kailangan ng pag-renew ng may-ari at pamamaraan. Ang pag-refresh ng patunay ng validation, pag-install ng bagong materyal at muling pag-load ng listener sa pamamagitan ng sinusuportahang mekanismo nito ay tatlong magkahiwalay na hakbang, at ang una lamang ang awtomatikong ginagawa ng karamihan ng ACME client. Ang sertipikong nagre-renew nang tama ngunit hindi kailanman na-load ay gumagawa ng parehong pagkawala ng serbisyo tulad ng isang nag-expire.

Hindi ini-install ng sertipiko ang ruta ng VPN at hindi gumagawa ng panloob na DNS record. Kailangan pa rin ng mga kliyente ng resolver na nagmamapa ng pangalan sa pribadong address at ruta upang makarating doon. Subukan ang site sa pamamagitan ng pangalan mula sa kliyenteng may pareho.

Itala ang issuer, ang paraan ng validation, ang channel ng pamamahagi ng tiwala at ang mekanismo ng muling pag-load. Ang apat na iyon ang plano sa pag-renew.