Sidjämförelse

SITHS Root CA v1

Inom SITHS Root CA v1 finns det dubbla sökvägar för samtliga funktioner CRL, OCSP och AIA. En dator/server som ska validera ett certifikat sitter på ett nätverk som inte kommer åt en eller flera av länkarna kan då få problem med timeout vid validering av certifikat. Lösningen på detta är att aktivt öppna brandväggen mot både Sjunet och Internet alt. att blockera den av nätverken som klienten in får eller kan få tillgång till

OBS! Som förberedelse inför SITHS e-id Root CA v2 flyttades siths.se. Dettaorsaka att man redan för SITHS Root CA v1 får olika IP-adresser beroende på vilken Sjunet DNS-server som svarar föst, se vidare information nedan.

SITHS e-id Root CA v2

 För SITHS e-id kommer det inte finnas separata sökvägar för Sjunet på det sätt som det funnits för SITHS. Istället använder vi Sjunets DNS som har två ”vyer”. Om man frågar på zonen siths.se:

• via sjunet så får man Sjunet IP-adresser

• via internet, så får man Internet IP-adresser

En organisation som har både Sjunet och Internet och vars regionala DNS-servrar har åtkomst till båda näten kan få olika IP-adresser beroende på vilka av Sjunets DNS-servrar som svarar först. Därför behöver dessa organisationer förmodligen se över sin DNS-infrastruktur enligt nedan:

•  Endast stöd för SITHS via Internet:

  • Skapa conditional forwards för zonen siths.se till dns1.sjunet.inera.se och dns2.sjunet.inera.se

• Endast stöd för SITHS via Sjunet

  • Konfigurera ert lokala nätverk enligt dokumentationen för DNS-inställningar på Sjunets sida på https://www.inera.se även för zonen siths.se och inte bara sjunet.org

• Stöd för både Sjunet och Internet för olika klienter i den lokala miljön

  • Det enklaste är att ha olika lokal DNS-hantering för de två olika näten.

  • Eventuellt kan man även lösa detta genom att skapa olika conditional forwards baserat på käll-ip för den klient som ställer frågan till den lokala DNS:en.