Yalnızca VPN ile erişilen bir site için sertifika: DNS-01 mi özel CA mı?

Yalnızca VPN ile erişilebilen bir sitenin sertifikasını nasıl alması gerektiğine üç koşul karar verir: genel bir DNS bölgesini kontrol edip etmediğiniz, ana makine adının genel günlüklerde görünüp görünemeyeceği ve her istemciye özel bir güven çapası verilip verilemeyeceği. Genel ve özel yol ikisi de çalışan bir kilit üretir ve farklı soruları yanıtlar. Bu koşulları çözmeden birini seçmek, bir sitenin istemediği bir genel sertifikayla ya da istemcilerin yarısının reddettiği bir iç sertifikayla kalmasının yoludur.

Sertifika adı kanıtlar; VPN ve iç DNS yolu sağlar.

Güvenilir bir ada iki yol

DNS-01 doğrulaması yapan bir genel yayıncı, bir ad üzerindeki denetimi kontrol ettiğiniz bölgedeki bir TXT kaydıyla kanıtlar; böylece web hizmeti hiçbir zaman genel bir HTTP bağlantısını kabul etmek zorunda kalmaz. Özel bir CA, iç adlar için yaprak sertifikalar yayımlar ve güven çapasını cihaz yönetimi aracılığıyla dağıtır; böylece hiçbir genel günlük adı öğrenmez. İkisi de meşrudur ve seçim kolaylıktan değil bu üç koşuldan doğar. Yolların hiçbiri bir istemcinin gereksinim duyduğu yolu ya da çözümleyici girdisini sağlamaz.

Genel bir sertifika, ana makine adını sertifika şeffaflık günlüklerinde de yayımlar. Adın kendisi hassassa, bu açıklama sonradan keşfedilecek bir yan etki değil, bir tasarım kararıdır.

Hizmeti açığa çıkarmadan DNS-01

Meydan okuma kaydı, bölgede ayrılmış bir önek altındaki TXT girdisidir ve yayıncı bunu yetkili DNS’ten okur. Bu kaydı oluşturabilen ve kaldırabilen bir ACME istemcisi ve DNS entegrasyonu seçin ve güncellemeye dar yetki verin: bölge için kapsamı sınırlı API kimlik bilgisi ya da yalnızca doğrulama için kullanılan denetimli bir ana makine. Tek bir sertifikayı yenilemek için uygulama sunucusuna sınırsız kayıt operatörü kimlik bilgisi vermek, işin gerektirdiğinden çok daha fazla yetkidir. Birkaç sipariş aynı adı paylaşıyorsa TXT değerlerini ayrı tutun; böylece birinin temizlenmesi diğerinin hâlâ ihtiyaç duyduğu bir değeri silmez.

Sabit bir beklemek yerine yetkili sunuculara karşı denetimle yayılmayı bekleyin. Yayılma davranışı sağlayıcıya bağlıdır ve bugün işleyen bir bekleme yarına dair kanıt değildir.

Yönetilen istemciler ve bilinçli olarak özel adlar

Yönetilen cihazlar ve bilinçli olarak özel adlar iç CA’ya iyi uyar. Güvenilir yayıncıyı cihaz yönetimi aracılığıyla dağıtın, ardından amaçlanan adlar için yaprak sertifikalar yayımlayın. Her istemcinin gerçekte hangi depoyu kullandığını denetleyin, çünkü işletim sistemine tek bir içe aktarma her tarayıcı ve uygulama hakkında evrensel bir iddia değildir. Yaprak sabitleme, açıkça desteklendiği yerlerde başka bir seçenektir; ancak yaprak her değiştiğinde bir güven güncellemesi daha pahasına.

Dağıtım kanalı anahtar kadar önemlidir: kimsenin kurmadığı bir kök hiçbir şeyi korumaz.

Yenileme tasarımın parçasıdır

Hangi yolu seçerseniz seçin, yenilemenin bir sahibi ve prosedürü olmalıdır. Doğrulama kanıtını tazelemek, yeni malzemeyi kurmak ve dinleyiciyi desteklenen mekanizmasıyla yeniden yüklemek üç ayrı adımdır ve yalnızca ilkini çoğu ACME istemcisi otomatikleştirir. Doğru yenilenen ama hiç yüklenmeyen bir sertifika, süresi geçmiş bir sertifikayla aynı kesintiyi üretir.

Sertifika VPN yolunu kurmaz ve iç DNS kaydını oluşturmaz. İstemcilerin yine de adı özel adrese eşleyen bir çözümleyiciye ve oraya ulaşmak için bir yola ihtiyacı vardır. Siteyi adıyla, ikisine de sahip bir istemciden test edin.

Yayıncıyı, doğrulama yöntemini, güven dağıtım kanalını ve yeniden yükleme mekanizmasını kaydedin. O dördü yenileme planıdır.