Privates HTTPS

Ein öffentlich vertrauenswürdiges Zertifikat kann auch für einen INETAPP-Server verwendet werden, der nur in einem privaten Netzwerk erreichbar ist. Die Zertifizierungsstelle muss die Kontrolle über den DNS-Namen prüfen, aber der Webdienst muss bei DNS-01 nicht aus dem Internet erreichbar sein.

Öffentliche Zertifizierungsstellen stellen Zertifikate für öffentliche DNS-Namen aus. Sie stellen keine öffentlich vertrauenswürdigen Zertifikate für private IP-Adressen oder Namen wie server.local und server.internal aus.

Verwenden Sie einen registrierten Domainnamen für den Dienst, zum Beispiel app.example.com. Internes DNS kann diesen Namen auf eine private Adresse auflösen, während öffentliches DNS nur für die Zertifikatsvalidierung verwendet wird. Diese Anordnung heißt Split-DNS.

Wichtig: Ein Zertifikat bestätigt die Identität eines DNS-Namens. Es macht einen privaten Server nicht aus dem Internet erreichbar und ersetzt keine Zugriffskontrolle.

Die folgende Einrichtung hält den Webdienst privat:

1. Erstellen Sie einen DNS-Namen unter einer Domain, die Sie kontrollieren.
2. Konfigurieren Sie internes DNS so, dass der Name auf die private Adresse des Servers aufgelöst wird.
3. Verwenden Sie DNS-01, um die Kontrolle über den Namen nachzuweisen.
4. Lassen Sie die Firewall für eingehende Verbindungen aus dem Internet geschlossen.
5. Konfigurieren Sie Zertifikat und privaten Schlüssel für die HTTPS-Verbindung.

Die Webserver-Konfiguration enthält HTTPS-Port, Bind-Adresse und externe sichtbare URL. Die externe sichtbare URL ist die Browser-Adresse und muss nicht der Adresse entsprechen, die öffentliches DNS verwendet.

Verwenden Sie Tailscale, wenn jeder Benutzer einen Client installieren kann und der Zugriff auf bekannte Geräte begrenzt werden soll. Verwenden Sie eine interne Zertifizierungsstelle, wenn Sie den Truststore auf allen Clientgeräten kontrollieren.

Ein verwalteter Tunnel oder Reverse-Proxy ist geeignet, wenn Benutzer ohne Installation eines Clients für ein privates Netzwerk über den Browser zugreifen müssen. Diese Methoden bringen eine Abhängigkeit von einem Anbieter mit und sollten durch Anwendungsauthentifizierung oder eine Zugriffsrichtlinie geschützt werden.

• Verwenden Sie ein separates DNS-API-Token mit dem kleinstmöglichen Berechtigungsumfang.
• Bewahren Sie den privaten Schlüssel auf dem Server oder auf dem System auf, das HTTPS beendet.
• Veröffentlichen Sie die private Adresse nicht im öffentlichen DNS.
• Prüfen Sie, ob interne und externe DNS-Antworten zum vorgesehenen Zugriffsmodell passen.
• Testen Sie die Zertifikatserneuerung, bevor das Zertifikat abläuft.
• Verwenden Sie kein Staging-Zertifikat für normale Benutzer.

Die Seite DNS-01 erklärt DNS-Validierung und ihre automatisierten und manuellen Varianten. Externe ACME-Clients beschreibt, wie ein außerhalb des Servers erzeugtes Zertifikat als eigenes Zertifikat installiert wird. Die vorhandene Reverse-Proxy-Konfiguration gilt, wenn ein Proxy HTTPS vor dem Server beendet.