Faqat VPN orqali ishlaydigan sayt uchun sertifikat: DNS-01 yoki xususiy CA?

Faqat VPN orqali kirish mumkin bo'lgan sayt sertifikatini qanday olishi kerakligini uch shart belgilaydi: ommaviy DNS zonasini boshqarasizmi, xost nomi ommaviy jurnallarda ko'rinishi mumkinmi va har bir mijozga xususiy ishonch tayanchi berish mumkinmi. Ommaviy va xususiy yo'llar ikkisi ham ishlaydigan qulf yaratadi va ular turli savollarga javob beradi. Bu shartlarni hal qilmasdan birini tanlash sayt o'zi xohlamagan ommaviy sertifikat bilan yoki mijozlarning yarmi rad etadigan ichki sertifikat bilan qolishining yo'lidir.

Sertifikat nomni isbotlaydi; VPN va ichki DNS yo'lni ta'minlaydi.

Ishonchli nomga ikki yo'l

DNS-01 tekshiruvi bilan ommaviy beruvchi nom ustidan nazoratni o'zingiz boshqaradigan zonadagi TXT yozuvi orqali isbotlaydi, shuning uchun veb xizmat hech qachon ommaviy HTTP ulanishini qabul qilishi shart emas. Xususiy CA ichki nomlar uchun barg sertifikatlar chiqaradi va o'z ishonch tayanchini qurilmalarni boshqarish orqali tarqatadi, shuning uchun hech bir ommaviy jurnal nomni bilmaydi. Ikkisi ham qonuniy va tanlov qulaylikdan emas, o'sha uch shartdan kelib chiqadi. Hech bir yo'l mijozga kerak bo'lgan marshrut yoki hal qiluvchi yozuvini bermaydi.

Ommaviy sertifikat xost nomini sertifikat shaffofligi jurnallarida ham e'lon qiladi. Agar nomning o'zi nozik bo'lsa, bu oshkor qilish keyin topiladigan nojo'ya ta'sir emas, dizayn qarori.

Xizmatni oshkor qilmasdan DNS-01

Chaqiruv yozuvi zonadagi zaxiralangan prefiks ostidagi TXT yozuvidir va beruvchi uni vakolatli DNS dan o'qiydi. O'sha yozuvni yaratib, o'chira oladigan ACME mijozi va DNS integratsiyasini tanlang, yangilashga tor ruxsat bering: zona uchun cheklangan API hisob ma'lumotlari yoki faqat tekshirish uchun ishlatiladigan boshqariladigan xost. Bitta sertifikatni yangilash uchun ilova serveriga cheklanmagan ro'yxatga oluvchi hisob ma'lumotlarini berish topshiriqqa kerak bo'lganidan ancha ko'p vakolat. Bir necha buyurtma bitta nomni bo'lishsa, ularning TXT qiymatlarini alohida saqlang, birini tozalash boshqasiga hali kerak bo'lgan qiymatni o'chirmasin.

Qat'iy kutish o'rniga vakolatli serverlarga qarshi tekshiruv bilan tarqalishni kuting. Tarqalish xatti-harakati provayderga bog'liq va bugun ishlaydigan kutish ertangi haqida dalil emas.

Boshqariladigan mijozlar va ataylab xususiy nomlar

Boshqariladigan qurilmalar va ataylab xususiy nomlar ichki CA ga yaxshi mos keladi. Ishonchli beruvchini qurilmalarni boshqarish orqali tarqating, so'ng mo'ljallangan nomlar uchun barg sertifikatlar chiqaring. Har bir mijoz qaysi omborni haqiqatda ishlatishini tekshiring, chunki operatsion tizimga bitta import har bir brauzer va ilova haqida universal da'vo emas. Bargni mahkamlash aniq qo'llab-quvvatlanadigan joylarda yana bir variant, ammo barg o'zgarganda har safar yana bir ishonch yangilanishi evaziga.

Tarqatish kanali kalit kabi muhim: hech kim o'rnatmaydigan ildiz hech narsani himoya qilmaydi.

Yangilash dizaynning bir qismi

Qaysi yo'lni tanlasangiz ham, yangilash uchun egasi va tartib kerak. Tekshiruv dalilini yangilash, yangi materialni o'rnatish va tinglovchini qo'llab-quvvatlanadigan mexanizmi orqali qayta yuklash uch alohida qadam, va faqat birinchisini ACME mijozlarining ko'pchiligi avtomatlashtiradi. To'g'ri yangilanadigan, lekin hech qachon yuklanmaydigan sertifikat muddati o'tgan sertifikat kabi uzilish keltiradi.

Sertifikat VPN marshrutini o'rnatmaydi va ichki DNS yozuvini yaratmaydi. Mijozlarga hali ham nomni xususiy manzilga bog'laydigan hal qiluvchi va u yerga yetish uchun marshrut kerak. Saytni ikkisi ham bor mijozdan nomi bo'yicha sinab ko'ring.

Beruvchini, tekshiruv usulini, ishonchni tarqatish kanalini va qayta yuklash mexanizmini yozib qo'ying. O'sha to'rttasi yangilash rejasidir.