用https保护家庭网络中的服务器

Question

随着时间的推移，我的家庭网络积累了相当多的设备，运行网络接口。它们只能在本地访问，从家庭网络中访问。

使用https运行它们的最佳方法是什么，同时能够使用名称而不是IP访问它们。自签名证书不是一个选项。

我想出了以下的想法：

• 在区域home.myown.tld中创建指向本地地址的myown.tld的公共DNS中的名称，比如指向192.168.x.y的server.home.myown.tld。
• 为所有服务器和设备创建加密证书

这是一个好办法，还是可以做得更好？

具体而言:将本地地址分配给公共域名有多糟糕？

Answer 1

当然，这是个很好的处理方法。我们在以前的工作中也做过同样的事。

将本地地址分配给公共域名有多糟糕？

仅仅因为你已经公开注册了你的域名并不意味着DNS也需要公开。只能在本地网络上运行的DNS服务器上添加记录，这将阻止攻击者使用DNS来了解有关网络拓扑结构和运行中的服务的一些信息。

Answer 2

这是可行的，但我不推荐它，因为NS记录将揭示内部网络拓扑。

相反，为什么不能使用服务器的本地主机名呢？创建本地CA，向所有主机颁发证书，并将CA作为可信CA添加到本地域中的所有客户端。