Özel IP'ye HTTPS: sertifika kimliği mi, ana bilgisayar adı mı?

https://10.60.0.25 adresindeki hizmetiniz DNS adı olmadan bile kimliği doğrulanmış TLS kullanabilir. Adres, istemcinin doğrulaması gereken kimliktir ve sertifika onu tam olarak tanımlamalıdır. Karar, bu adresin kimlik olacak kadar kararlı olup olmadığı ya da bir ana bilgisayar adının bakımının daha kolay olup olmayacağıdır. VPN erişilebilirliği yanıtlar; bunu yanıtlamaz.

Kimliği ve güveni doğru kurun, IP tabanlı URL meşru bir tasarımdır.

İstemcinin gerçekte doğruladığı şey

İstemci, URL'deki referans kimliğini sertifikanın alternatif konu adlarıyla karşılaştırır. Bir IP adresi için bu, adrese eşit bir iPAddress girdisi anlamına gelir. Dostça bir ortak ad bunun yerini tutmaz.

RFC 9525 IP adresi kimliklerini DNS adlarından ayırır ve eşleştirme kuralını tanımlar. Adresi yalnızca konu etiketine ya da DNS türünde bir girdi olarak koymak eşleşme üretmez. Bu nedenle bir uyarı göründüğünde incelenecek alan SAN'dır.

Güven ikinci, bağımsız bir denetimdir. Ad eşleşmesi güvenilmeyen bir zinciri, süresi dolmuş bir sertifikayı ya da başka bir amaçla verilmiş bir sertifikayı düzeltmez.

Birinci karar: adres kimlik olacak kadar kararlı mı

Adres dağıtımın tüm ömrü boyunca sabitse, IP SAN sertifikası basit ve dürüsttür. Hizmet taşınabilirse, her taşınma bir sertifika değişimine ve eşgüdümlü bir istemci güncellemesine dönüşür.

Kararlı bir ana bilgisayar adı bu bağlantıyı azaltır. İstemciler adı kullanır, onaylanmış DNS onu geçerli adrese eşler ve adres değişikliği artık kimlik değişikliği olmaz. Sertifikanın yine de yenilenmesi gerekir, ancak URL değişmez.

Yönetilen bir hosts dosyası girdisi küçük bir ortamda eşlemeyi sağlayabilir. Bir dağıtım sorumluluğu ekler; TLS doğrulamasının yerini tutmaz.

İkinci karar: istemci verene nasıl güvenecek

Özel bir CA için güven çapasını onaylanmış bir mekanizmayla hedef cihazlara dağıtın. Kullanıcılara uyarıları geçmeyi ya da oturum açma sayfasının verdiği bir sertifikayı kurmayı öğretmeyin. Genel olarak güvenilen bir sertifika istiyorsanız, plan yapmadan önce verenin özel adresler için geçerli kurallarını denetleyin. Çoğu genel veren, özel bir IP'yi genel kimlik olarak doğrulamaz.

Gerçek tarayıcıyı veya uygulamayı inceleyin. Güven deposu ve doğrulama davranışı, işletim sisteminin genel sertifika belgelerinden daha önemlidir. Bunu yalnızca konsolda değil, gerçek cihazda denetleyin.

VPN ağ geçidi, web uygulamasını çalıştıran makine olmayabilir, bu nedenle tünelin sertifikasının bununla bir ilgisi olduğunu varsaymayın.

Adres değişikliğini gerçekleşmeden önce planlayın

10.60.0.25, 10.60.0.40 olursa, eski sertifika artık URL'yi tanımlamaz. Değişimi ve istemci güncellemesini birlikte planlayın ve taşınma sırasında doğrulamayı asla devre dışı bırakmayın.

Kullanıcıların yazacağı veya uygulamaların yapılandıracağı kimliği seçin, ardından verme, güven, dağıtım ve yenilemeyi bunun etrafında hizalayın. Reddedilen bir uyarıyla erişilebilen sayfa, kimliğini istemcinin doğruladığı bir hizmetle aynı sonuç değildir.