เอกสาร
การจัดการโดเมนและ SAN
ใบรับรอง leaf มีผลเฉพาะกับชื่อที่ระบุใน ชื่อทางเลือกของหัวเรื่อง (SAN) เท่านั้น เมื่อไคลเอนต์เชื่อมต่อ ชื่อโฮสต์หรือ IP ใน URL ต้องตรงกับรายการใดรายการหนึ่งเหล่านี้อย่างเป๊ะ — ไม่รองรับไวลด์การ์ดและไม่รองรับการจับคู่แบบนำหน้า หน้านี้ครอบคลุมการจัดการรายการนี้ฝั่งเซิร์ฟเวอร์ ส่วนการตรวจสอบฝั่งไคลเอนต์อยู่ในหน้าสุดท้าย การตรวจสอบแบบเข้มงวดบนไคลเอนต์
การค้นพบอัตโนมัติ
เซิร์ฟเวอร์ค้นหาต่อเนื่องว่าตัวเองเข้าถึงได้ผ่านชื่อใด — ชื่อโฮสต์ปัจจุบันและที่อยู่ของอินเทอร์เฟซเครือข่ายที่ทำงานอยู่ — และแสดงรายการเหล่านั้นในหมวด ค้นพบโดยอัตโนมัติ รายการเหล่านี้ติดตามเครื่องและแก้ไขด้วยมือไม่ได้: เพิ่มอินเทอร์เฟซเครือข่ายหรือเปลี่ยนชื่อโฮสต์ รายการจะตามอัปเดตในการต่ออายุครั้งถัดไป
โดเมนและที่อยู่ IP เพิ่มเติม
การค้นพบอัตโนมัติไม่รู้ทุกอย่าง: ชื่อ DDNS, รายการ DNS แบบ split-horizon หรือที่อยู่หลัง NAT ต้องเพิ่มด้วยมือ เพิ่มในหมวด โดเมนและที่อยู่ IP เพิ่มเติม:
- พิมพ์ชื่อโฮสต์หรือที่อยู่ IP (เช่น
server.home.arpaหรือ10.0.0.8) แล้วกดเพิ่ม - ทำซ้ำกับทุกชื่อที่ไคลเอนต์จะใช้ ลบรายการด้วยปุ่มถังขยะ
- ตรวจทาน
ตัวอย่าง SAN สุดท้าย— มุมมองที่รวมรายการอัตโนมัติและรายการด้วยมือเข้าด้วยกัน ซึ่งใบรับรองใบถัดไปจะมี - กด
บันทึกและออกใบรับรองใหม่การบันทึกจะลงนามใบรับรอง leaf ใหม่แบบ 90 วันด้วยรายการ SAN ชุดใหม่และโหลดแบบ hot reload — การเชื่อมต่อเดิมไม่หลุด และการจับมือใหม่ใช้ใบรับรองใหม่ทันที
การออกใบรับรองใหม่ด้วยมือและสถานะ
แผง ใบรับรอง leaf ของเซิร์ฟเวอร์ แสดงใบรับรองที่ใช้งานอยู่: ป้ายสถานะ หัวเรื่อง ลายนิ้วมือ SHA-256 ช่วงวันที่ใช้ได้ และรายการ SAN ป้ายสถานะมีความหมายดังนี้
พร้อมใช้งาน— ใบรับรอง leaf ที่ใช้ได้ถูกโหลดและกำลังใช้อยู่อัปเดตไม่สำเร็จ— การออกใหม่ครั้งล่าสุดล้มเหลว ใบรับรองเดิมยังทำงานอยู่ และข้อผิดพลาดแสดงบนหน้ายังไม่ได้สร้าง— ยังไม่มีทั้ง CA และใบรับรอง leaf ใช้สร้าง CA และใบรับรองเพื่อสร้างทั้งสองอย่าง
ออกใบรับรอง leaf ใหม่ จะลงนามใบรับรอง leaf ใหม่ทันทีโดยไม่รอสัญญาณอัตโนมัติ — มีประโยชน์หลังเปลี่ยนชื่อโฮสต์หรืออินเทอร์เฟซทันที หรือเพื่อรับการแก้ไข SAN ที่ทำนอกเว็บ UI
การแจกจ่าย CA ราก
ไคลเอนต์ที่จะใช้การตรวจสอบแบบเข้มงวดต้องมีใบรับรองสาธารณะของ CA ราก รับได้จากการ์ด CA รากส่วนตัว:
ดาวน์โหลด CA รากบันทึกไฟล์ PEMคัดลอก CA รากวาง PEM ไว้ในคลิปบอร์ด พร้อมสำหรับวางลงช่อง CA ของไคลเอนต์
CA รากไม่เปลี่ยนแปลงตลอดการต่ออายุใบรับรอง leaf หรือการแก้ไข SAN — แจกจ่ายครั้งเดียวพอ ก่อนเปิดใช้การตรวจสอบแบบเข้มงวดที่ใดก็ตาม ให้เทียบลายนิ้วมือ SHA-256 ของใบรับรองที่แสดงบนหน้านี้กับสิ่งที่ไคลเอนต์ได้รับ (ดูหน้าสุดท้าย การตรวจสอบแบบเข้มงวดบนไคลเอนต์)
ไฟล์ดาวน์โหลดและคลิปบอร์ดมีเพียงใบรับรองสาธารณะของ CA — ไม่มีคีย์ส่วนตัวอย่างเด็ดขาด ส่งมอบให้เฉพาะคนที่คุณต้องการให้ตรวจสอบเซิร์ฟเวอร์ของคุณได้เท่านั้น