Zertifikate

Erstellen und Verwalten von Zertifikaten

Letzte Anpassung zur Version: 12.6.0

Neu:

Aktualisierung zum Redesign des Webinterfaces

notempty

Dieser Artikel bezieht sich auf eine Resellerpreview

12.5.1 12.4 11.7

Allgemeines

Die Securepoint Firewall benutzt digitale Zertifikate für die Authentifikation bei verschiedenen Funktionen:

VPN-Verbindungen
SSL-Interception
Captive Portal
Mailrelay
Reverse Proxy

Die Zertifikate entsprechen dem x.509 Standard.

Zertifikate sollen die Identität des Inhabers bescheinigen.
Sie werden

von der Securepoint Appliance ausgestellt und von der Appliance eigenen CA (Certification Authority; auch Stammzertifikat genannt) signiert.
- Die CA selbst ist ebenfalls ein Zertifikat, welches zuerst auf der Apliance erstellt werden muss, damit man Zertifikate erstellen kann, denn Zertifikate müssen bei der Erstellung mit der CA signiert werden.

durch einen Automatic Certificate Management Environment-Dienst ausgestellt und von diesem zertifiziert. Zur Verfügung steht hier Let's Encrypt

Diese Signierung bestätigt die Echtheit des Zertifikats. So kann der Benutzer sicher sein, dass das Zertifikat wirklich von der Appliance ausgestellt wurde.

Um das Zertifikat eindeutig zuordnen zu können, wird aus den einzelnen Angaben, die bei der Erstellung des Zertifikats gesetzt werden müssen, ein Distinguished Name (DN) generiert.
Dazu gehören:

Name des Zertifikats (CN) Common Name
Land (CO) Country
Bundesland/Region (ST) State
Ort (LO) Location
Firma (OR) Organisation
Abteilung (OU) Organisation Unit
E-Mail (email-address)

Es kann noch ein Alias angegeben werden, um die Eindeutigkeit zu verstärken. Dieser Alias ist entweder eine E-Mail-Adresse, ein DNS Name oder eine IP-Adresse.
Von mancher VPN Software wird dieser Alias für eine einwandfreie Funktionalität verlangt (z.B. Windows 7 IPSec Client).

Außerdem muss noch ein Gültigkeitszeitraum angegeben werden, dessen Anfangs- und Ablaufzeitpunkt sich aus Uhrzeit und Datum zusammensetzt. Die Zeitspanne der Gültigkeit ist nicht vorgeschrieben und kann den eigenen Bedürfnissen angepasst werden. Nach Ablauf dieser Zeitspanne, kann das Zertifikat nicht mehr verwendet werden.

Es kann noch ein Flag gesetzt werden, welches das Zertifikat als Serverzertifikat kennzeichnet. Dieses wird von OpenVPN für den Server verlangt. OpenVPN benötigt für eine Seite immer ein Serversystem mit Server Zertifikat auch bei Site-to-Site Verbindungen. Andere VPN Protokolle verlangen diese Kennzeichnung nicht.

Im Folgenden wird gezeigt, wie durch die UTM Zertifikate erstellt und signiert werden.

CA erstellen

Menü Authentifizierung Zertifikate Bereich CA Schaltfläche CA hinzufügen

Wert	Beschreibung	CA hinzufügen UTMbenutzer@firewall.name.fqdnAuthentifizierungZertifikate Dialog CA hinzufügen
Common Name	Eindeutiger Name. Für eine klare Zuordnung von Zertifikaten sollte folgendes Schema verwendet werden: CA-xyz für Certificate Authorities CS-xyz für Serverzertifikate (Certificate Server) CC-xyz für Clientzertifikate (Certificate Client) ACME-xyz für ACME Zertifikate (xyz entspricht dabei dem Dienst, für den das Zertifikat verwendet werden soll)
Schlüssellänge:	Schlüssellänge des Zertifikates. Mögliche Werte: 1024 / 2048 / 3072 (default) notempty Neu ab v12.5.1 / 4096
Gültig bis	Das Datum ist im folgenden Format anzugeben JJJJ/MM/TT hh:mm:ss. Wenn mit der Maus in das Eingabefeld geklickt wird, öffnet sich automatisch ein Kalender, auf dem das Datum und die Uhrzeit ausgewählt werden kann. Mit der Gültigkeit der CA läuft auch die Gültigkeit der mit dieser CA signierten Zertifikate aus.
Erstellen der CA mit der Schaltfläche

Server- und Clientzertifikat erstellen

Nun kann ein Zertikikat für einen Server oder Client erstellt werden. Dies geht unter: Authentifizierung Zertifikate Bereich Zertifikate Schaltfläche Zertifikat hinzufügen

notempty

Erst nachdem eine CA angelegt wurde, können Server- und Clientzertifikate angelegt werden.

Wert	Beschreibung	Zertifikat hinzufügen UTMbenutzer@firewall.name.fqdnAuthentifizierung Clientzertifikat erstellen Zertifikat hinzufügen UTMbenutzer@firewall.name.fqdnAuthentifizierung Serverzertifikat erstellen
Common Name	Eindeutiger Name. Für eine klare Zuordnung von Zertifikaten sollte folgendes Schema verwendet werden: CA-xyz für Certificate Authorities CS-xyz für Serverzertifikate (Certificate Server) CC-xyz für Clientzertifikate (Certificate Client) ACME-xyz für ACME Zertifikate (xyz entspricht dabei dem Dienst, für den das Zertifikat verwendet werden soll)
Schlüssellänge:	Schlüssellänge des Zertifikates. Mögliche Werte: 1024 / 2048 / 3072 (default) notempty Neu ab v12.5.1 / 4096
CA:	CA-Anyideas Auswahl der CA, die das Zertifikat signieren soll
Werte aus CA laden	Übernimmt die Werte aus der CA. Nachträgliche Änderungen sind möglich.
Serverzertifikat	Aus Wird für ein Clientzertifikat nicht verwendet
Serverzertifikat	EinWird für ein Serverzertifikat aktiviert. Zusätzlich ist mindest eine weiterer Alias erforderlich.
Alias	DNS DNSName des Servers (z.B. beispiel.spdns.de) E-Mail E-Mailadresse IP IP-Adresse des Servers Hinzufügen des Alias mit der Schaltfläche
Erstellen des Zertifikates mit der Schaltfläche

zum Anfang

ACME Zertifikate (Let's Encrypt)

Authentifizierung Zertifikate Bereich ACME

Beschriftung	Wert	Beschreibung	Zertifikate UTMbenutzer@firewall.name.fqdnAuthentifizierung
Aktiviert:	Ja	Aktiviert die Nutzung von ACME-Zertifikaten. Weitere Informationen siehe unten ACME Dienst aktivieren.
Systemweite Nameserver für ACME-Challenges verwenden:	Ja	Sollten die Adressen für die Server zur Verlängerung der ACME-Challenges nicht über den systemweiten Nameserver aufgelöst werden können (z.B. wg. konfigurierter Relay- oder Foreward-Zonen) können bei Deaktivierung Nein alternative Nameserver eingetragen werden.
Nameserver für ACME-Challenges: Bei deaktivierten systemweiten Nameserver für ACME-Challenges nutzbar	»85.209.185.50»85.209.185.51»2a09:9c40:1:53::1»2a09:9c40:1:53::2	Hier lassen sich die Nameserver für die ACME-Challenges eintragen.

ACME Dienst aktivieren

Um ACME Zertifikate nutzen zu können, muss dies unter Authentifizierung Zertifikate Bereich ACME Aktiviert: Ja aktiviert werden.

Sobald der Dienst aktiviert wurde und dies mit

gespeichert wurde, wird der Link zu den Nutzungsbedingungen geladen und es lassen sich die Einstellungen aufrufen.
Mit der Schaltfläche Aktivieren Ja und dem Hinterlegen einer E-Mail Adresse für Benachrichtigungen durch den ACME Dienstanbieter (hier: Let's Encrypt) lassen sich die Angaben unter

speichern.
Daraufhin wird ein Dialog eingeblendet mit einem Link zu den Nutzungsbedingungen, die akzeptiert Ja werden müssen.

ACME-Dienst Ein Dienst aktivieren

UTM v12.6 Zertifikate ACME Nutzungsbedingungen geladen.png

Sobald der Dienst aktiviert wurde und dies mit

gespeichert wurde, wird der Link zu den Nutzungsbedingungen geladen und es lassen sich die Einstellungen aufrufen.

UTM v12.6 Zertifikate ACME aktivieren.png

Mit der Schaltfläche Aktivieren Ja und dem Hinterlegen einer E-Mail Adresse für Benachrichtigungen durch den ACME Dienstanbieter (hier: Let's Encrypt) lassen sich die Angaben unter

speichern.

UTM v12.6 Zertifikate ACME Nutzungsbedingungen bestätigen.png

Daraufhin wird ein Dialog eingeblendet mit einem Link zu den Nutzungsbedingungen, die akzeptiert Ja werden müssen.

UTM v12.6 Zertifikate ACME Regestrierung.png

Daraufhin wird eine Registrierung bei dem ACME Dienstanbieter durchgeführt

UTM v12.6 Zertifikate ACME registriert.png

Die erfolgreiche Registrierung wird mit dem Status OK angezeigt.

Token generieren

spDYN Für die Erzeugung der Zertifikate ist zunächst der ACME-Token im spDYN Portal zu generieren.
Innerhalb des spDYN-Portals ist der entsprechende Host zu öffnen.

spDyn Host aufrufen
Im Dropdown Menü für Token den ACME Challenge Token wählen
Token generieren
notempty
Der Token wird einmal bei der Generierung angezeigt und kann nicht erneut angezeigt werden.

Der Token sollte notiert und sicher aufbewahrt werden.

spDyn Host aufrufen

Zertifikate ACME SpDYN Token waehlen.png

Im Dropdown Menü für Token den ACME Challenge Token wählen

Token generieren
Der Token wird einmal bei der Generierung angezeigt und kann nicht erneut angezeigt werden.
Der Token sollte notiert und sicher aufbewahrt werden.

Verlängerung der ACME Zertifikate

notempty

Neu ab 12.4

Die Verlängerung der ACME/Let's Encrypt Zertifikate findet über die verwendeten Nameserver, welche unter Bereich ACME (siehe oben) konfiguriert werden, statt.

ACME-Zertifikate

Nach Abschluss der vorherigen Schritte kann nun das eigentliche Zertifikat erzeugt werden. Ein Klick im Bereich Zertifikate auf ACME-Zertifikat hinzufügen öffnet den entsprechenden Dialog.

Status	Beschreibung	Hinweis / Fehlerbehandlung
Beschriftung	Wert	Beschreibung	ACME-Zertifikat hinzufügen UTMbenutzer@firewall.name.fqdnAuthentifizierungZertifikate ACME-Zertifikat hinzufügen
ACME-Zertifikat hinzufügen UTM Dialog Authentifizierung Zertifikate Bereich Zertifikate Schaltfläche ACME-Zertifikat hinzufügen
Name	acme_ttt-Point	Name zur Identifizierung des Zertifikates
Schlüssellänge:	2048	Schlüssellänge des Zertifikates. Mögliche Werte:
ACME Account	Let's Encrypt	ACME Account der verwendet werden soll

Subject Alternative Name konfigurieren mit SAN hinzufügen Subject Alternative Name hinzufügen
Subject Alternative Name	»ttt-point.spdns.org	Der Subject Alternative Name (SAN) wird im Zertifikat hinterlegt und entspricht der aufgerufenen URL	SAN hinzufügen UTMbenutzer@firewall.name.fqdnAuthentifizierungZertifikate Subject Alternative Name hinzufügen
Subject Alternative Name	»*.ttt-point.spdns.org	Es können auch Wildcard-SANs verwendet werden. Für die Verwendung mit einem Captive Portal werden Wildcard-Zertifikate benötigt Wird für das Captive Portal im Nameserver eine Forward-Zone benötigt und für diese dann ein A-Record eingetragen, wird dieser nicht mehr im öffentlichen DNS aufgelöst. Die Überprüfung und Verlängerung eines ACME-Zertifikates auf diesen Namen schlägt dann fehl.
Alias	ttt-point.spdns.org	Ist der SAN ein spDYN Hostname wird er automatisch als Alias übernommen. (Auch bei Wildcard-Domännen ohne * )
Token	•••••••••••••	Der Token aus dem spDYN-Portal (s.o.) belegt dem ACME-Dienst, daß man über den Hostnamen verfügen darf. zeigt den Token an. Beim Einfügen des Tokens aus der Zwischenablage kann es vorkommen, daß vor oder nach dem eigentlichen Token Leerzeichen enthalten sind. Diese müssen entfernt werden

Konfiguration prüfen Konfiguration prüfen
Status	Noch nicht geprüft	Vor der eigentlichen Generierung des Zertifiaktes muss zunächst die Konfiguration geprüft werden. Dies erfolgt durch einen Klick auf die Schaltfläche Konfiguration prüfen.	ACME-Zertifikat hinzufügen UTMbenutzer@firewall.name.fqdnAuthentifizierungZertifikate
	initialisieren Initialisiert	Die Überprüfung kann mehrere Minuten in Anspruch nehmen. Dabei wird der Dialog regelmäßig aktualisiert.
	Gültig	Ist die Überprüfung erfolgreich wird der Status Gültig angezeigt.
	DNS Fehler	Mögliche Ursachen: falscher Token DNS Auflösung gestört Zonen Weiterleitung im DNS konfiguriert lokale DNS-Zone im DNS konfiguriert Falls im Nameserver der UTM eine Zone für eine Domain liegt, welche auch das ACME-Zertifikat nutzt, schlägt die DNS Auflösung fehl. Lösung: Für diese Zone einen CNAME-Eintrag für diese Domain erstellen. • Unter Menu/Anwendungen/Nameserver/Zonen nach der Zone suchen • auf Bearbeiten klicken • Im Fenster auf +Eintrag hinzufügen klicken • unter Name: einen passenden Namen eintragen • bei Typ: CNAME auswählen • bei Wert: die Domaine eintragen

Subject Alternative Name für eine externe DNS-Zone konfigurieren mit SAN hinzufügen SAN für externe DNS-Zone hinzufügen
Subject Alternative Name	ttt-point.anyideas.org	Der Subject Alternative Name (SAN) aus der externen DNS-Zone	SAN hinzufügen UTMbenutzer@firewall.name.fqdnAuthentifizierungZertifikate
Alias	ttt-point.spdns.org	Der Alias muss auch für die externe DNS auf den spDYN Namen lauten.
DNS-Provider	Beim DNS-Provider, der die externe Zone hostet (hier: ttt-point.anyideas.org) muss ein zusätzlicher CNAME-Record mit dem Prefix _acme-challenge und dem anschließenden Hostnamen angelegt werden und entsprechend auf den zugehörigen spDYN-Record mit vorangestellten _acme-challenge verwiesen. _acme-challenge.ttt-point.spdns.org. (Mit "." am Ende!) Ein beispielhafter Auszug aus einem Zonefile für die Konfiguration der beiden Hostnamen mx.ttt-point.de und exchange.ttt-point.de sieht wie folgt aus: _acme-challenge.mx.ttt-point.anyideas.org. IN CNAME _acme-challenge.ttt-point.spdns.org. _acme-challenge.exchange.ttt-point.anyideas.org. IN CNAME _acme-challenge.ttt-point.spdns.org. Der Hostname muss im öffentlichen DNS auflösbar sein. Die Erstellung von Zertifkaten für .local, .lan, etc. Zonen ist nicht möglich. Die UTM muss den Hostnamen über externe Nameserver korrekt auflösen können. notempty Ist die interne und die externe/öffentliche Domain identisch, sollte ein Wildcard-ACME-Zertifikat verwendet werden. Beispiel: Hostname für das Captive Portal: portal.ttt-point.de → ACME Zertifikat: *.ttt-point.de

Konfiguration prüfen	Weitere SANs können hinzugefügt und geprüft werden, solang die Schaltfläche noch nicht betätigt wurde.		ACME-Zertifikat hinzufügen UTMbenutzer@firewall.name.fqdnAuthentifizierungZertifikate

Status	Gültig	Sind alle benötigten SAN erfolgreich geprüft, kann das Zertifikat gespeichert werden.	ACME-Zertifikat hinzufügen UTMbenutzer@firewall.name.fqdnAuthentifizierungZertifikate
	notempty Nach dem Speichern des Zertifikates lassen sich keine Änderungen mehr vornehmen. Es kann lediglich bei bestehenden SANs der Alias und der Token geändert werden. Werden zusätzliche oder andere SANs benötigt muss ein neues Zertifikat angelegt und das Bestehende widerrufen werden.

Erstellung des ACME Zertifikates Erstellung des ACME Zertifikates
	Wurden die vorherigen Schritte erfolgreich abgeschlossen wird durch einen Klick auf Speichern der eigentliche Prozess zur Validierung und Generierung des Zertifikates angestoßen. Dieser Vorgang kann einige Zeit in Anspruch nehmen. Um den Status zu aktualiseren ist der Dialog manuell neu zu laden.		Zertifikate UTMbenutzer@firewall.name.fqdnAuthentifizierungZertifikate

Statuswerte Statuswerte
Folgende Statuswerte können auftreten
Gültig	Das ACME Zertifikat ist gültig
Noch nicht überprüft	Das ACME Zertifikat muss noch überprüft werden
Interner Fehler	Ein interner Fehler ist aufgetreten	Mögliche Ursachen: Kaputte Hardware Softwarefehler Konfigurationsfehler
Verbindungsfehler	Keine Verbindung möglich/vorhanden	Die Verbindungseinstellungen überprüfen
Ungültig	Das ACME Zertifikat ist ungültig und kann nicht verwendet werden
DNS-Fehler	Ein DNS-Fehler ist aufgetreten	Mögliche Ursachen: falscher Token DNS Auflösung gestört Zonen Weiterleitung im DNS konfiguriert lokale DNS-Zone im DNS konfiguriert Falls im Nameserver der UTM eine Zone für eine Domain liegt, welche auch das ACME-Zertifikat nutzt, schlägt die DNS Auflösung fehl. Lösung: Für diese Zone einen CNAME-Eintrag für diese Domain erstellen. • Unter Menu/Anwendungen/Nameserver/Zonen nach der Zone suchen • auf Bearbeiten klicken • Im Fenster auf +Eintrag hinzufügen klicken • unter Name: einen passenden Namen eintragen • bei Typ: CNAME auswählen • bei Wert: die Domaine eintragen
Widerrufen	Das ACME Zertifikat ist widerrufen worden	Entweder wurde es manuell widerrufen, oder es hat seine Gültigkeit verloren. Zum Beispiel ist das ACME Zertifikat ausgelaufen und wurde nicht verlängert.
Initialisieren	Die Überprüfung des ACME Zertifikats wird eingeleitet	Dies kann mehrere Minuten in Anspruch nehmen. Der Status wird regelmäßig aktualisiert.
Aufgeschoben	Die Überprüfung des ACME Zertifikats wird verschoben	Die Aktualisierung des Status wird einige Zeit in Anspruch nehmen, da das Limit der Anfragen bereits erreicht wurde
Initialisiert	Das ACME Zertifikat wird überprüft	Die Überprüfung des ACME Zertifikats wird eingeleitet

Zertifikate / CAs importieren

Zertifikate und CAs lassen sich mit mit der Schaltfläche CA importieren bzw. Zertifikat importieren importieren.

Importformat

Zertifikate und CAs, die in eine UTM importiert werden sollen, müssen im PEM-Format (Dateiendung meist .pem) oder PKCS12-Format (Dateiendung meist .p12 oder .pfx) vorliegen.

Mit dem für alle gängigen Plattformen erhältlichen Tool openssl (Bestandteil von Linux, Aufruf über die Konsole) und den folgenden Befehlen können Zertifikate konvertiert werden:

Zertifikat	Befehl
X509 zu PEM	openssl x509 -in certificatename.cer -outform PEM -out certificatename.pem
DER zu PEM	openssl x509 -inform der -in certificate.cer -out certificate.pem
P7B zu PEM	openssl pkcs7 -print_certs -in certificate.p7b -out certificate.pem

Fehlermeldung beim Import

Beim Import kann es zur Fehlermeldung "The certificate format is not supported…" kommen.
Passwortgeschützte Zertifikate im pkcs12-Format (.p12 , .pfx , .pkcs12) in Verbindung mit älteren Ciphern können diesen Fehler auslösen.

Ein Import ist meist möglich, wenn im Reiter Allgemein notempty

Neu ab v12.5.1

die Option Veraltete kryptografische Algorithmen unterstützen Ein aktiviert wird. notempty

Erfordert einen Dabei werden alle Verbindungen (incl. VPN-Verbindungen) zur UTM unterbrochen!

Möglichkeiten für den Import von Zertifikaten:

Zertifikat in *.pem umwandeln
Mit dem für alle gängigen Plattformen erhältlichen Tool openssl (Bestandteil von Linux, Aufruf über die Konsole) und den folgenden Befehlen können Zertifikate konvertiert werden:
openssl pkcs12 -in Zertifikat.pfx -out Zertifikat.pem -nodes
Alternativ mithilfe eines Online-Dienstes
CLI Befehle, um Zertifikate-Import mit veralteten Ciphern in der UTM zu erlauben:
extc global set variable GLOB_ENABLE_SSL_LEGACY value 1
appmgmt config application "securepoint_firewall"
appmgmt config application "fwserver"
system reboot
notempty
Erfordert einen Dabei werden alle Verbindungen (incl. VPN-Verbindungen) zur UTM unterbrochen!

cli> extc global get variable GLOB_ENABLE_SSL_LEGACY 
variable              |value
----------------------+-----
GLOB_ENABLE_SSL_LEGACY|0  

cli> extc global set variable GLOB_ENABLE_SSL_LEGACY value 1
OK

cli> extc global get variable GLOB_ENABLE_SSL_LEGACY
variable              |value
----------------------+-----
GLOB_ENABLE_SSL_LEGACY|1

cli> appmgmt config application "securepoint_firewall"
cli> appmgmt config application "fwserver"

Häufige Statusmeldungen:

Status	Beschreibung	Hinweis
KEY	Der öffentliche und private Schlüssel liegen vor	Es kann ver- und entschlüsselt werden:
VALID	Das Zertifikat ist gültig	Es kann ver- und entschlüsselt werden:
INIT	Das Zertifikat wird gerade initialisiert (Nur ACME-Zertifikate)
KEY	Der private Schlüssel liegt nicht vor	Es kann lediglich verschlüsselt, nicht aber entschlüsselt werden Bei Import z.B. einer öffentlichen CA wird nur der PublicKey importiert
UNABLE TO GET CERTIFICATE CRL	Es konnte keine aktuelle CRL gefunden werden.	Eine CRL ist für den Betrieb im Webserver oder Mailrelay nicht relevant.
UNABLE TO GET LOCAL ISSUER CERTIFICATE	Der lokale Aussteller kann nicht gefunden werden. Dies tritt auf, wenn das Ausstellerzertifikat eines nicht vertrauenswürdigen Zertifikats nicht gefunden werden kann.	Bei importierten CAs kann es keinen lokalen Aussteller geben
certificate has expired	Das Zertifikat ist abgelaufen. Das notAfter-Datum liegt vor der aktuellen Uhrzeit.	Bei ausschließlich lokal genutzten Zertifikaten: Prüfen, ob das Gültigkeitsdatum angepasst werden kann ggf. neues Zertifikat erstellen (lassen) Bei ACME-Zertifikaten: Prüfen, warum das Zertifikat nicht erneuert werden konnte (z.B.: Festplatte im read-only-Modus)
certificate is not yet valid	Das Zertifikat ist noch nicht gültig: Das notBefore-Datum liegt nach der aktuellen Uhrzeit.
CRL is not yet valid	Die CRL ist noch nicht gültig
CRL has expired	Die CRL ist abgelaufen
certificate revoked	Das Zertifikat wurde widerrufen.	In Produktivumgebungen sollten widerrufene Zertifikate nicht widerhergestellt werden. Hier ist das Erstellen eines neuen Zertifikates meistens die bessere Lösung.
unsupported or invalid name syntax UNSUPPORTED_CONSTRAINT_SYNTAX	Nicht unterstützte oder ungültige Syntax der Namensbeschränkung	Das Format der Namensbeschränkung wird nicht berücksichtigt: zum Beispiel ein E-Mail-Adressformat einer Form, die nicht in RFC3280 erwähnt wird. Bspw. ein -.
CRL lokal generiert	Die CRL wurde auf diesem Gerät erstellt	Entweder, es handelt sich um ein Zertifikat, das lokal erstellt wurde, oder es wurde (bisher) keine passende CRL importiert.
CRL importiert	Die CRL wurde importiert

notempty

Zertifikate / CAs exportieren

notempty Neu ab: v12.5
Schaltfläche	Beschreibung	Zertifikate UTMbenutzer@firewall.name.fqdnAuthentifizierung CA Export
PEM	Startet den Export im PEM-Format mit der Endung .crt Base64 kodiertes Format Beinhaltet den öffentlichen und den privaten Schlüssel in einer Datei Kennzeichnung der beiden Schlüssel sind mit den Bezeichnungen: -----BEGIN CERTIFICATE----- und -----END CERTIFICATE----- für den öffentlichen Schlüssel -----BEGIN PRIVATE KEY----- und -----END PRIVATE KEY----- für den privaten Schlüssel Wird die CA ebenfalls benötigt, kann diese über den Bereich CA separat im PEM oder PKCS12 Format exportiert werden In der Datei ist der private Schlüssel enthalten. Dieser sollte vor der Weitergabe der Daten aus der Datei gelöscht werden.
PKCS12	Startet den Export im PKCS12-Format mit der Endung .p12 Da hierbei die CA ebenfalls mit exportiert wird, sollte aus Sicherheitsgründen ein Passwort vergeben werden. In der Datei ist der private Schlüssel enthalten. Dieser sollte vor der Weitergabe der Daten aus der Datei gelöscht werden. Bei der Verwendung auf Drittgeräten kann es zu Problemen kommen, wenn diese nicht die gleichen (neuesten) Hash- und Verschlüsselungsverfahren wie die UTM verwenden. Eine Lösung kann sein, die Zertifikate z.B. mit openssl in 2 Schritten zu konvertieren: openssl pkcs12 -nodes < CC-Roadwarrior1.p12 > CC-Roadwarrior1-tmp.pem openssl pkcs12 -keypbe PBE-SHA1-3DES -certpbe PBE-SHA1-3DES -nomac -export -in CC-Roadwarrior1-tmp.pem -out CC-Roadwarrior1-neu.p12 -name "CC-Roadwarrior1"
CRL	Startet den Export im CRL-Format (Certificate Revokation List)

Zertifikate / CAs widerrufen

Bereich CA / Zertifikate
	Widerruft ein Zertifikat oder eine CA. Die Sicherheitsabfrage muss mit Ja bestätigt werden. Sollen mehrere Zertifikate widerrufen werden, kann das Einblenden der Sicherheitsabfrage vorübergehend deaktiviert werden. Sollen Zertifikate nicht mehr genutzt werden, obwohl der Gültigkeitszeitraum noch aktiv ist, werden die Zertifikate nicht gelöscht, sondern widerrufen. Widerrufene Zertifikate verbleiben weiterhin im System, sind aber als ungültig erklärt und werden nicht mehr akzeptiert. Widerrufene Zertifikate werden in der Zertifikatsverwaltung unter der Registerkarte Widerrufen geführt und können dort wiederhergestellt werden Widerrufene Zertifikate werden in der Zertifikatssperrliste auf der Registerkarte CRLs (Certificate Revocation List) aufgenommen. Die Sperrliste wird gleichzeitig mit der CA angelegt. Wird ein Zertifikat widerrufen, wird es in der Liste als ungültig hinterlegt, die der signierenden CA entspricht. Die Sperrliste kann ebenfalls exportiert werden, um auf andere Systeme geladen zu werden CRL importieren, damit diese die widerrufenen Zertifikate ebenfalls nicht akzeptieren.	Zertifikate UTMbenutzer@firewall.name.fqdnAuthentifizierung Zertifikate / CAs widerrufen

Widerrufen
	Zeigt alle widerrufenen CAs und Certifikate mit zugehörigen CAs an	Widerrufene Zertifikate
	Entsperrt eine CA oder ein Zertifikat und stellt es wieder her. Das sollte nur bei lokalen CAs oder Zertifikaten, deren CRL noch nicht exportiert wurde, durchgeführt werden!
	Löscht das Zertifikat Das sollte nur bei lokalen CAs oder Zertifikaten, die nicht in Produktivumgebungen genutzt wurden, durchgeführt werden!

CRLs
	Zeigt alle CAs und Zertifikate mit ihrem Status und dem Typ der CRL an	CRLs
	Exportiert die CRL einer CA bzw eines Zertifikates
CRL importieren	Importiert eine CRL

ACME
Ein	Aktiviert ACME Dienste (Automatic Certificate Management Environment) Siehe ACME Zertifikate

zum Anfang

Allgemeines

CA erstellen

Server- und Clientzertifikat erstellen

ACME Zertifikate (Let's Encrypt)

ACME Dienst aktivieren

Token generieren

Verlängerung der ACME Zertifikate

ACME-Zertifikate

ACME-Zertifikat hinzufügen

Subject Alternative Name hinzufügen

Konfiguration prüfen

SAN für externe DNS-Zone hinzufügen

Erstellung des ACME Zertifikates

Statuswerte

Zertifikate / CAs importieren

Importformat

Fehlermeldung beim Import

Zertifikate / CAs exportieren

Zertifikate / CAs widerrufen