Odpověď na názor

Pokud máte TTL 48 hodin, nemusíte si změny všimnout klidně celý den. Běžně máme na serverech TTL v řádu hodin...

Ten popsaný zmatek je prostě kompromisem, který vznikl jistým vývojem. Není to ideální, ale tak to prostě je - a změna by byla drahá. Jeden certifikát per server je prostě nejjednodušší řešení v daném případě - a také nejlevnější.
Ano, pak se certifikát mění často, pro všechny služby naráz.
Neterminující (nikoliv jen z pohledu TLS, ale spíše TCP) loadbalancery používáme naprosto běžně - jsou pro tok dat transparentní, což nám přináší některé výhody. Opět: je to dané aplikací - tedy nejedná se o standardní web.

Zapsáním certifikační autority do DNS v podstatě zcela anulujete výhody tohoto řešení: nemáte jak zjistit, že certifikát je neplatný, nahrazený jiným.

15. 10. 2024, 21:27 editováno autorem komentáře