Домени та керування SAN

Кінцевий сертифікат дійсний лише для імен, перелічених у його альтернативних іменах субʼєкта (SAN). Коли клієнт зʼєднується, імʼя хоста або IP у його URL має точно збігатися з одним із цих записів — підстановні знаки та зіставлення за префіксом не підтримуються. Ця сторінка описує керування списком на сервері; перевірка на боці клієнта — на останній сторінці «Сувора перевірка на клієнтах».

Автоматичне виявлення

Сервер безперервно виявляє, під якими іменами він досяжний — поточні імена хостів і адреси активних мережевих інтерфейсів — і перелічує їх у розділі «Виявлені автоматично». Ці записи слідують за машиною й не редагуються вручну: додайте мережевий інтерфейс або змініть імʼя хоста — список оновиться під час наступного понаднення.

Додаткові домени та IP-адреси

Автовиявлення знає не все: імена DDNS, записи split-horizon DNS або адресу за NAT треба вносити вручну. Додайте їх у розділі «Додаткові домени та IP-адреси»:

1. Введіть імʼя хоста або IP-адресу (наприклад server.home.arpa або 10.0.0.8) і натисніть «Додати»;
2. Повторіть для кожного імені, яке використовуватимуть клієнти. Видаліть запис кнопкою кошика;
3. Перевірте «Підсумковий список SAN» — обʼєднане подання виявлених і ручних записів, який понесе наступний сертифікат;
4. Натисніть «Зберегти та перевипустити». Під час збереження підписується новий 90-денний кінцевий сертифікат з новим списком SAN і гаряче завантажується — наявні зʼєднання залишаються на місці, а нові рукостиски одразу використовують новий сертифікат.

Ручний перевипуск і статус

Панель «Кінцевий сертифікат сервера» показує чинний сертифікат: значок статусу, субʼєкт, відбиток SHA-256, строк дії та записи SAN. Значок статусу означає:

• Доступний — завантажено чинний кінцевий сертифікат і він використовується;
• Помилка оновлення — остання спроба перевипуску не вдалася; попередній сертифікат залишається активним, помилку показано на сторінці;
• Не створено — ні CA, ні кінцевого сертифіката ще немає; скористайтеся «Створити CA та сертифікат», щоб створити обидва.

«Перевипустити кінцевий сертифікат» негайно підписує свіжий кінцевий сертифікат, не чекаючи автоматичного приводу — корисно одразу після зміни імені хоста або інтерфейсів, а також щоб урахувати зміни SAN, зроблені поза веб-інтерфейсом.

Розповсюдження кореневого CA

Клієнтам, які використовуватимуть сувору перевірку, потрібен публічний сертифікат кореневого CA. Отримайте його на картці «Приватний кореневий CA»:

• «Завантажити кореневий CA» зберігає PEM-файл;
• «Копіювати кореневий CA» кладе PEM у буфер обміну, готовий для вставки в поле CA клієнта.

Кореневий CA не змінюється ані при понадненнях кінцевого сертифіката, ані при змінах SAN — достатньо розповсюдити його один раз. Перш ніж увімкнути сувору перевірку де завгодно, звірте показаний на цій сторінці відбиток SHA-256 сертифіката з тим, що отримав клієнт (див. останню сторінку «Сувора перевірка на клієнтах»).

Завантаження та буфер обміну містять лише публічний сертифікат CA — ніколи приватний ключ. Передавайте його лише тим, хто, на вашу думку, має вміти перевіряти ваш сервер.