Сертификаты
Раздел с информацией о создании, загрузке и управлении SSL-сертификатами. Они необходимы, чтобы веб-ресурс работал по защищенному протоколу HTTPS, а браузер не выдавал ошибку безопасности.
Общая информация
В этом разделе отображаются SSL-сертификаты или цепочки сертификатов, список которых формируется следующими модулями:
Действующие сертификаты
В таблице Действующие сертификаты отображаются:
Автоматически сгенерированные цепочки сертификатов;
Загруженные цепочки сертификатов, используемые модулями Ideco NGFW.
Если в таблице Действующие сертификаты одна и та же цепочка сертификатов указана в нескольких строках, то она используется несколькими модулями.
Загруженные сертификаты
В таблице Загруженные сертификаты отображаются:
Все загруженные цепочки сертификатов;
Корневой сертификат Ideco NGFW.
Подробная инструкция по загрузке SSL-сертификата в статье.
Логика работы
NGFW позволяет выпустить или загрузить корневые и не корневые (пользовательские) сертификаты.
Корневые сертификаты обязательно должны иметь разрешение выдавать дочерние сертификаты X509v3 Basic Constraints: CA: TRUE. При первоначальной установке и запуске NGFW корневой (самоподписанный) сертификат генерируется автоматически. Его можно скачать, нажав на соответствующую кнопку.
Пользовательские сертификаты - любые сертификаты на домен. Могут быть как подписанными корпоративным корневым сертификатом, так и выданными Certificate Authority (CA) или Центрами сертификации. NGFW автоматически генерирует и подписывает сертификаты на домены, которые вы указываете для модулей.
Процесс выпуска сертификата
Чтобы выпустить сертификат, NGFW выполняет следующие действия:
1. Создает локальную цепочку сертификатов, подписанную корневым (самоподписанным) сертификатом.
2. Параллельно с созданием локальной цепочки сертификатов отправляется запрос на выпуск цепочки в Let’s Encrypt.
Условия автоматического выпуска сертификатов Let's Encrypt:
Наличие доменного имени, зарегистрированного на статический белый IP-адрес, который назначен на внешний интерфейс Ideco NGFW;
Открытый 80 TCP-порт на внешнем интерфейсе. После установки Ideco NGFW 80 TCP-порт по умолчанию открыт во внешнюю сеть.
3. При успешном выпуске цепочки сертификатов Let’s Encrypt заменяет локальную цепочку.
4. Если выпуск цепочки сертификатов Let’s Encrypt завершился неудачей, продолжит использовать локальную цепочку сертификатов.
Сертификат Let’s Encrypt выпускается на 3 месяца и будет автоматически перевыпущен по окончании срока действия.
Процесс перевыпуска сертификата
Проверит загруженные сертификаты. Если сертификат найден, то заменит действующую цепочку сертификатов на домен на найденную;
Если для данного домена новые сертификаты не загружались, Ideco NGFW обратится к Let’s Encrypt для выпуска новой цепочки;
Если цепочка от Let’s Encrypt получена, она отобразится в таблице;
Если получить цепочку сертификатов от Let’s Encrypt не удалось, продолжит использовать локальную цепочку сертификатов.
При замене или перевыпуске цепочки корневого сертификата, IPsec-соединения между NGFW перестанут работать (необходимо их пересоздать).
Чтобы перевыпустить локальную цепочку сертификатов, выполните действия:
1. Перейдите в раздел Управление сервером -> Терминал.
2. Перейдите в директорию /var/cache/ideco/cert-backend, выполнив команду:
3. Выведите содержимое директории, выполнив команду ls.
4. Скопируйте название файла сертификата, который требуется перевыпустить. Названия файлов будут иметь вид: test.ideco.ru-self-sign_chain_833bcda78229059d2c2886548c75e9e3.pem , где:
test.ideco.ru- Доменное имя или IP-адрес, на который выпущен сертификат.
5. Удалите файл, выполнив команду:
Last updated
