HTTPS tới một IP riêng: danh tính chứng chỉ hay tên máy chủ?

Dịch vụ của bạn tại https://10.60.0.25 có thể có TLS đã xác thực ngay cả khi không có tên DNS. Địa chỉ là danh tính mà máy khách phải xác thực, và chứng chỉ phải mô tả nó chính xác. Quyết định là liệu địa chỉ đó có đủ ổn định để trở thành danh tính hay tên máy chủ sẽ dễ bảo trì hơn. VPN trả lời về khả năng tiếp cận; nó không trả lời điều này.

Làm đúng danh tính và tin cậy, thì URL dựa trên IP là một thiết kế hợp lý.

Máy khách thực sự xác thực điều gì

Máy khách so sánh danh tính tham chiếu trong URL với các tên chủ thể thay thế của chứng chỉ. Với một địa chỉ IP, điều đó nghĩa là một mục iPAddress bằng địa chỉ. Một tên chung thân thiện không phải là thứ thay thế.

RFC 9525 tách danh tính địa chỉ IP khỏi tên DNS và định nghĩa quy tắc khớp. Đặt địa chỉ chỉ trong nhãn chủ thể, hoặc như một mục kiểu DNS, không tạo ra kết quả khớp. Vì vậy SAN là trường cần kiểm tra khi cảnh báo xuất hiện.

Tin cậy là bước kiểm tra thứ hai, độc lập. Khớp tên không sửa được chuỗi không đáng tin, chứng chỉ hết hạn hay chứng chỉ được cấp cho mục đích khác.

Quyết định một: địa chỉ có đủ ổn định để trở thành danh tính không

Nếu địa chỉ cố định trong suốt vòng đời triển khai, chứng chỉ SAN IP là đơn giản và trung thực. Nếu dịch vụ có thể di chuyển, mỗi lần di chuyển trở thành việc thay chứng chỉ và cập nhật máy khách có phối hợp.

Một tên máy chủ ổn định giảm sự ghép nối đó. Máy khách dùng tên, DNS đã được phê duyệt ánh xạ nó tới địa chỉ hiện tại, và thay đổi địa chỉ không còn là thay đổi danh tính. Chứng chỉ vẫn cần gia hạn, nhưng URL không đổi.

Một mục hosts được quản lý có thể cung cấp ánh xạ trong môi trường nhỏ. Nó thêm trách nhiệm phân phối; nó không thay thế việc xác minh TLS.

Quyết định hai: máy khách sẽ tin nhà phát hành như thế nào

Với CA riêng, hãy phân phối neo tin cậy tới các thiết bị dự định bằng một cơ chế đã được phê duyệt. Đừng tập cho người dùng bỏ qua cảnh báo hoặc cài chứng chỉ do trang đăng nhập đưa cho họ. Nếu muốn chứng chỉ được công khai tin cậy, hãy kiểm tra quy tắc hiện hành của nhà phát hành cho địa chỉ riêng trước khi lập kế hoạch dựa vào đó. Hầu hết nhà phát hành công khai sẽ không xác thực IP riêng như danh tính công khai.

Hãy xem xét trình duyệt hoặc ứng dụng thực tế. Kho tin cậy và hành vi xác thực của nó quan trọng hơn tài liệu chứng chỉ chung của hệ điều hành. Hãy kiểm tra trên thiết bị thực tế, không chỉ trong bảng điều khiển.

Cổng VPN có thể không phải là máy chạy ứng dụng web, vì vậy đừng cho rằng chứng chỉ của đường hầm có liên quan gì đến cái này.

Lập kế hoạch thay đổi địa chỉ trước khi nó xảy ra

Nếu 10.60.0.25 trở thành 10.60.0.40, chứng chỉ cũ không còn mô tả URL. Hãy lập kế hoạch thay thế và cập nhật máy khách cùng nhau, và không bao giờ tắt xác minh trong khi di chuyển.

Chọn danh tính mà người dùng sẽ nhập hoặc ứng dụng sẽ cấu hình, rồi căn chỉnh việc cấp phát, tin cậy, triển khai và gia hạn quanh nó. Một trang truy cập được với cảnh báo bị bỏ qua không phải là kết quả giống như một dịch vụ mà máy khách xác thực danh tính.