KKeine Bearbeitungszusammenfassung |
KKeine Bearbeitungszusammenfassung |
||
| Zeile 15: | Zeile 15: | ||
{{var | neu--Zertifikate exportieren Format festlegen | {{var | neu--Zertifikate exportieren Format festlegen | ||
| Geändertes Vorgehen beim Export von [[#Zertifikate_/_CAs_exportieren | Zertifikaten / CAs]] | | Geändertes Vorgehen beim Export von [[#Zertifikate_/_CAs_exportieren | Zertifikaten / CAs]] | ||
| | | Changed procedure for exporting [[#Export_certificates_/_CAs | Certificates / CAs]] }} | ||
{{var | neu--Veraltete Algorithmen unterstützen | {{var | neu--Veraltete Algorithmen unterstützen | ||
| [[#Fehlermeldung beim Import | Unterstützung für veraltete Algorithmen]] kann im neuen Reiter ''Allgemein'' aktiviert werden | | [[#Fehlermeldung beim Import | Unterstützung für veraltete Algorithmen]] kann im neuen Reiter ''Allgemein'' aktiviert werden | ||
Version vom 7. September 2023, 08:24 Uhr
Erstellen und Verwalten von Zertifikaten
Letzte Anpassung zur Version: 12.5.1
Neu:
- Unterstützung für veraltete Algorithmen kann im neuen Reiter Allgemein aktiviert werden
- Geändertes Vorgehen beim Export von Zertifikaten / CAs
- Hinweise zu Fehlermeldungen beim Import (v12.4)
- Hinweise zu Problemen beim PKCS12 Export (v12.4)
- Nameserver für ACME-Challenges (v12.4)
Dieser Artikel bezieht sich auf eine Beta-Version
Allgemeines
Die Securepoint Firewall benutzt digitale Zertifikate für die Authentifikation bei verschiedenen Funktionen:
- VPN-Verbindungen
- SSL-Interception
- Captive Portal
- Mailrelay
- Reverse Proxy
Die Zertifikate entsprechen dem x.509 Standard.
Zertifikate sollen die Identität des Inhabers bescheinigen.
Sie werden
- von der Securepoint Appliance ausgestellt und von der Appliance eigenen CA (Certification Authority; auch Stammzertifikat genannt) signiert.
- Die CA selbst ist ebenfalls ein Zertifikat, welches zuerst auf der Apliance erstellt werden muss, damit man Zertifikate erstellen kann, denn Zertifikate müssen bei der Erstellung mit der CA signiert werden.
- durch einen Automatic Certificate Management Environment-Dienst ausgestellt und von diesem zertifiziert. Zur Verfügung steht hier Let's Encrypt
Diese Signierung bestätigt die Echtheit des Zertifikats. So kann der Benutzer sicher sein, dass das Zertifikat wirklich von der Appliance ausgestellt wurde.
Um das Zertifikat eindeutig zuordnen zu können, wird aus den einzelnen Angaben, die bei der Erstellung des Zertifikats gesetzt werden müssen, ein Distinguished Name (DN) generiert.
Dazu gehören:
Um das Zertifikat eindeutig zuordnen zu können, wird aus den einzelnen Angaben, die bei der Erstellung des Zertifikats gesetzt werden müssen, ein Distinguished Name (DN) generiert.
Dazu gehören:
- Name des Zertifikats (CN) Common Name
- Land (CO) Country
- Bundesland/Region (ST) State
- Ort (LO) Location
- Firma (OR) Organisation
- Abteilung (OU) Organisation Unit
- E-Mail (email-address)
- Es kann noch ein Alias angegeben werden, um die Eindeutigkeit zu verstärken. Dieser Alias ist entweder eine E-Mail-Adresse, ein DNS Name oder eine IP-Adresse.
- Von mancher VPN Software wird dieser Alias für eine einwandfreie Funktionalität verlangt (z.B. Windows 7 IPSec Client).
- Außerdem muss noch ein Gültigkeitszeitraum angegeben werden, dessen Anfangs- und Ablaufzeitpunkt sich aus Uhrzeit und Datum zusammensetzt. Die Zeitspanne der Gültigkeit ist nicht vorgeschrieben und kann den eigenen Bedürfnissen angepasst werden. Nach Ablauf dieser Zeitspanne, kann das Zertifikat nicht mehr verwendet werden.
- Es kann noch ein Flag gesetzt werden, welches das Zertifikat als Serverzertifikat kennzeichnet. Dieses wird von OpenVPN für den Server verlangt. OpenVPN benötigt für eine Seite immer ein Serversystem mit Server Zertifikat auch bei Site-to-Site Verbindungen. Andere VPN Protokolle verlangen diese Kennzeichnung nicht.
Im Folgenden wird gezeigt, wie durch die UTM Zertifikate erstellt und signiert werden.
CA erstellen
Menü Bereich CA Schaltfläche
| Wert | Beschreibung |
|---|---|
| Common Name | |
| Schlüssellänge | Schlüssellänge des Zertifikates. Mögliche Werte: / / (default) notempty Neu ab v12.5.1 |
| Gültig bis | Das Datum ist im folgenden Format anzugeben JJJJ/MM/TT hh:mm:ss. Wenn mit der Maus in das Eingabefeld geklickt wird, öffnet sich automatisch ein Kalender, auf dem das Datum und die Uhrzeit ausgewählt werden kann. Mit der Gültigkeit der CA läuft auch die Gültigkeit der mit dieser CA signierten Zertifikate aus.
|
Erstellen der CA mit der Schaltfläche
Server- und Clientzertifikat erstellen
Nun kann ein Zertifikat für einen Server oder Client erstellt werden. Dies geht unter: Bereich Zertifikate Schaltfläche
| Wert | Beschreibung |
|---|---|
| Common Name | |
| Schlüssellänge | Schlüssellänge des Zertifikates. Mögliche Werte: / / (default) notempty Neu ab v12.5.1 |
| CA: | Auswahl der CA, die das Zertifikat signieren soll |
| Übernimmt die Werte aus der CA. Nachträgliche Änderungen sind möglich. | |
| Serverzertifikat | Aus Wird für ein Clientzertifikat nicht verwendet |
| EinWird für ein Serverzertifikat aktiviert. Zusätzlich ist mindestens eine weiterer Alias erforderlich.
| |
| Alias |
Hinzufügen des Alias mit der Schaltfläche |
ACME Zertifikate (Let's Encrypt)
Bereich ACME
| Beschriftung | Wert | Beschreibung | UTMbenutzer@firewall.name.fqdnAuthentifizierung 
|
|---|---|---|---|
| Aktiviert: | Ja | Aktiviert die Nutzung von ACME-Zertifikaten. Weitere Informationen siehe unten ACME Dienst aktivieren. | |
| Systemweite Nameserver für ACME-Challenges verwenden: | Ja | Sollten die Adressen für die Server zur Verlängerung der ACME-Challenges nicht über den systemweiten Nameserver aufgelöst werden können (z.B. wg. konfigurierter Relay- oder Foreward-Zonen) können bei Deaktivierung Nein alternative Nameserver eingetragen werden. | |
| Nameserver für ACME-Challenges: Bei deaktivierten systemweiten Nameserver für ACME-Challenges nutzbar |
»85.209.185.50»85.209.185.51»2a09:9c40:1:53::1»2a09:9c40:1:53::2 | Hier lassen sich die Nameserver für die ACME-Challenges eintragen. | |
ACME Dienst aktivieren
ACME Dienst aktivieren
Um ACME Zertifikate nutzen zu können, muss dies unter Bereich ACME Aktiviert: Ja aktiviert werden.
- Sobald der Dienst aktiviert wurde und dies mit gespeichert wurde, wird der Link zu den Nutzungsbedingungen geladen und es lassen sich die Einstellungen aufrufen.
- Mit der Schaltfläche Aktivieren Ja und dem Hinterlegen einer E-Mail Adresse für Benachrichtigungen durch den ACME Dienstanbieter (hier: Let's Encrypt) lassen sich die Angaben unter speichern.
- Daraufhin wird ein Dialog eingeblendet mit einem Link zu den Nutzungsbedingungen, die akzeptiert Ja werden müssen.
UTMbenutzer@firewall.name.fqdnAuthentifizierung 
ACME-Dienst Ein Dienst aktivieren
UTMbenutzer@firewall.name.fqdnAuthentifizierung 
Sobald der Dienst aktiviert wurde und dies mit gespeichert wurde, wird der Link zu den Nutzungsbedingungen geladen und es lassen sich die Einstellungen aufrufen.
UTMbenutzer@firewall.name.fqdnAuthentifizierungZertifikate 
Mit der Schaltfläche Aktivieren Ja und dem Hinterlegen einer E-Mail Adresse für Benachrichtigungen durch den ACME Dienstanbieter (hier: Let's Encrypt) lassen sich die Angaben unter speichern.
UTMbenutzer@firewall.name.fqdnAuthentifizierung 
Daraufhin wird eine Registrierung bei dem ACME Dienstanbieter durchgeführt
UTMbenutzer@firewall.name.fqdnAuthentifizierung 
Die erfolgreiche Registrierung wird mit dem Status OK angezeigt.
Token generieren
Token generieren
spDYN Für die Erzeugung der Zertifikate ist zunächst der ACME-Token im spDYN Portal zu generieren.
Innerhalb des spDYN-Portals ist der entsprechende Host zu öffnen.
- spDyn Host aufrufen
- Im Dropdown Menü für Token den ACME Challenge Token wählen
- Token generieren
notemptyDer Token wird einmal bei der Generierung angezeigt und kann nicht erneut angezeigt werden.
Der Token sollte notiert und sicher aufbewahrt werden.
spDyn Host aufrufen
Im Dropdown Menü für Token den ACME Challenge Token wählen
Token generieren
Der Token wird einmal bei der Generierung angezeigt und kann nicht erneut angezeigt werden.
Der Token sollte notiert und sicher aufbewahrt werden.
Der Token wird einmal bei der Generierung angezeigt und kann nicht erneut angezeigt werden.
Der Token sollte notiert und sicher aufbewahrt werden.
Verlängerung der ACME Zertifikate
Verlängerung der ACME Zertifikate
Die Verlängerung der ACME/Let's Encrypt Zertifikate findet über die verwendeten Nameserver, welche unter Bereich ACME (siehe oben) konfiguriert werden, statt.
ACME-Zertifikate
ACME-Zertifikate
Nach Abschluss der vorherigen Schritte kann nun das eigentliche Zertifikat erzeugt werden. Ein Klick im Bereich Zertifikate auf öffnet den entsprechenden Dialog.
| Beschriftung | Wert | Beschreibung | UTMbenutzer@firewall.name.fqdnAuthentifizierungZertifikate  ACME-Zertifikat hinzufügen
|
|---|---|---|---|
ACME-Zertifikat hinzufügen | |||
| Name: | acme_ttt-Point | Name zur Identifizierung des Zertifikates | |
| Schlüssel: |
Schlüssel des Zertifikates. Mögliche Werte:
| ||
| ACME Account: | ACME Account der verwendet werden soll | ||
Subject Alternative Name konfigurieren mit Subject Alternative Name hinzufügen | |||
| Subject Alternative Name: | »ttt-point.spdns.org | Der Subject Alternative Name (SAN) wird im Zertifikat hinterlegt und entspricht der aufgerufenen URL | UTMbenutzer@firewall.name.fqdnAuthentifizierungZertifikate  Subject Alternative Name hinzufügen
|
| »*.ttt-point.spdns.org | Wird für das Captive Portal im Nameserver eine Forward-Zone benötigt und für diese dann ein A-Record eingetragen, wird dieser nicht mehr im öffentlichen DNS aufgelöst. Die Überprüfung und Verlängerung eines ACME-Zertifikates auf diesen Namen schlägt dann fehl. | ||
| Alias: | ttt-point.spdns.org | Ist der SAN ein spDYN Hostname wird er automatisch als Alias übernommen. (Auch bei Wildcard-Domännen ohne * ) | |
| Token: | ••••••••••••• | Der Token aus dem spDYN-Portal (s.o.) belegt dem ACME-Dienst, daß man über den Hostnamen verfügen darf. zeigt den Token an. Beim Einfügen des Tokens aus der Zwischenablage kann es vorkommen, daß vor oder nach dem eigentlichen Token Leerzeichen enthalten sind. Diese müssen entfernt werden. | |
| [-] Extras | |||
| Alternative chain: notempty Neu ab v14.1.0 |
Kann in seltenen Fällen die Stabilität erhöhen Diese Option kann verwendet werden, wenn es Probleme mit der Standard-Zertifikatskette des Anbieters gibt. In der Vergangenheit führte beispielsweise die Anwesenheit eines abgelaufenen Root-Zertifikats in der Kette, das zum Cross-Signen verwendet wurde, zu Problemen mit einigen Clients Üblicherweise muss diese Einstellung nicht geändert werden
| ||
| Speichern und schließen | |||
Konfiguration prüfen | |||
| Status: | Noch nicht geprüft | Vor der eigentlichen Generierung des Zertifikates muss zunächst die Konfiguration geprüft werden. Dies erfolgt durch einen Klick auf die Schaltfläche . | UTMbenutzer@firewall.name.fqdnAuthentifizierungZertifikate 
|
| initialisieren Initialisiert |
Die Überprüfung kann mehrere Minuten in Anspruch nehmen. Dabei wird der Dialog regelmäßig aktualisiert. | ||
| Gültig | Ist die Überprüfung erfolgreich wird der Status Gültig angezeigt. | ||
| DNS Fehler | Mögliche Ursachen:
| ||
Subject Alternative Name für eine externe DNS-Zone konfigurieren mit SAN für externe DNS-Zone hinzufügen | |||
| Subject Alternative Name: | ttt-point.anyideas.org | Der Subject Alternative Name (SAN) aus der externen DNS-Zone | UTMbenutzer@firewall.name.fqdnAuthentifizierungZertifikate 
|
| Alias: | ttt-point.spdns.org | Der Alias muss auch für die externe DNS auf den spDYN Namen lauten. | |
| DNS Provider | Beim DNS-Provider, der die externe Zone hostet (hier: ttt-point.anyideas.org) muss ein zusätzlicher CNAME-Record mit dem Prefix _acme-challenge und dem anschließenden Hostnamen angelegt werden und entsprechend auf den zugehörigen spDYN-Record mit vorangestellten _acme-challenge verwiesen. _acme-challenge.ttt-point.spdns.org. (Mit "." am Ende!) Ein beispielhafter Auszug aus einem Zonefile für die Konfiguration der beiden Hostnamen mx.ttt-point.de und exchange.ttt-point.de sieht wie folgt aus: _acme-challenge.mx.ttt-point.anyideas.org. IN CNAME _acme-challenge.ttt-point.spdns.org. _acme-challenge.exchange.ttt-point.anyideas.org. IN CNAME _acme-challenge.ttt-point.spdns.org. Die Erstellung von Zertifkaten für .local, .lan, etc. Zonen ist nicht möglich. notempty Ist die interne und die externe/öffentliche Domain identisch, sollte ein Wildcard-ACME-Zertifikat verwendet werden. Beispiel: Hostname für das Captive Portal: portal.ttt-point.de → ACME Zertifikat: *.ttt-point.de | ||
| Weitere SANs können hinzugefügt und geprüft werden, solang die Schaltfläche noch nicht betätigt wurde. | UTMbenutzer@firewall.name.fqdnAuthentifizierungZertifikate 
| ||
| Status: | Gültig | Sind alle benötigten SAN erfolgreich geprüft, kann das Zertifikat gespeichert werden. | UTMbenutzer@firewall.name.fqdnAuthentifizierungZertifikate 
|
| notempty Nach dem Speichern des Zertifikates lassen sich keine Änderungen mehr vornehmen. Es kann lediglich bei bestehenden SANs der Alias und der Token geändert werden. | |||
Erstellung des ACME ZertifikatesErstellung des ACME Zertifikates | |||
| Wurden die vorherigen Schritte erfolgreich abgeschlossen wird durch einen Klick auf Speichern der eigentliche Prozess zur Validierung und Generierung des Zertifikates angestoßen. Dieser Vorgang kann einige Zeit in Anspruch nehmen. Um den Status zu aktualiseren ist der Dialog manuell neu zu laden. |
UTMbenutzer@firewall.name.fqdnAuthentifizierungZertifikate 
| ||
StatuswerteStatuswerte | |||
| Folgende Statuswerte können auftreten | |||
| Status | Beschreibung | Hinweis / Fehlerbehandlung | |
| Gültig | Das ACME Zertifikat ist gültig | ||
| Noch nicht überprüft | Das ACME Zertifikat muss noch überprüft werden | ||
| Interner Fehler | Ein interner Fehler ist aufgetreten | Mögliche Ursachen:
| |
| Verbindungsfehler | Keine Verbindung möglich/vorhanden | Die Verbindungseinstellungen überprüfen | |
| Ungültig | Das ACME Zertifikat ist ungültig und kann nicht verwendet werden | ||
| DNS-Fehler | Ein DNS-Fehler ist aufgetreten | Mögliche Ursachen:
| |
| Widerrufen | Das ACME Zertifikat ist widerrufen worden | Entweder wurde es manuell widerrufen, oder es hat seine Gültigkeit verloren. Zum Beispiel ist das ACME-Zertifikat ausgelaufen und wurde nicht verlängert. | |
| Initialisieren | Die Überprüfung des ACME Zertifikats wird eingeleitet | Dies kann mehrere Minuten in Anspruch nehmen. Der Status wird regelmäßig aktualisiert. | |
| Aufgeschoben | Die Überprüfung des ACME Zertifikats wird verschoben | Die Aktualisierung des Status wird einige Zeit in Anspruch nehmen, da das Limit der Anfragen bereits erreicht wurde | |
| Initialisiert | Das ACME Zertifikat wird überprüft | Die Überprüfung des ACME Zertifikats wird eingeleitet | |
Zertifikate / CAs importieren
Zertifikate und CAs lassen sich mit mit der Schaltfläche bzw. importieren.
Importformat
Zertifikate und CAs, die in eine UTM importiert werden sollen, müssen im PEM-Format (Dateiendung meist .pem) oder PKCS12-Format (Dateiendung meist .p12 oder .pfx) vorliegen.
Mit dem für alle gängigen Plattformen erhältlichen Tool openssl (Bestandteil von Linux, Aufruf über die Konsole) und den folgenden Befehlen können Zertifikate konvertiert werden:
| Zertifikat | Befehl |
|---|---|
| X509 zu PEM | openssl x509 -in certificatename.cer -outform PEM -out certificatename.pem |
| DER zu PEM | openssl x509 -inform der -in certificate.cer -out certificate.pem |
| P7B zu PEM | openssl pkcs7 -print_certs -in certificate.p7b -out certificate.pem |
Fehlermeldung beim Import
Beim Import kann es zur Fehlermeldung "The certificate format is not supported…" kommen.
Passwortgeschützte Zertifikate im pkcs12-Format (.p12 , .pfx , .pkcs12) in Verbindung mit älteren Ciphern können diesen Fehler auslösen.
Ein Import ist meist möglich, wenn im Bereich Allgemein die Option Veraltete kryptografische Algorithmen unterstützen Ein aktiviert wird.
Erfordert einen Dabei werden alle Verbindungen (incl. VPN-Verbindungen) zur UTM unterbrochen!
Möglichkeiten für den Import von Zertifikaten:
- Zertifikat in *.pem umwandeln
Mit dem für alle gängigen Plattformen erhältlichen Tool openssl (Bestandteil von Linux, Aufruf über die Konsole) und den folgenden Befehlen können Zertifikate konvertiert werden:
openssl pkcs12 -in Zertifikat.pfx -out Zertifikat.pem -nodes
Alternativ mithilfe eines Online-Dienstes
- CLI Befehle, um Zertifikate-Import mit veralteten Ciphern in der UTM zu erlauben:
extc global set variable GLOB_ENABLE_SSL_LEGACY value 1
appmgmt config application "securepoint_firewall"
appmgmt config application "fwserver"
system reboot
Erfordert einen Dabei werden alle Verbindungen (incl. VPN-Verbindungen) zur UTM unterbrochen!
cli> extc global get variable GLOB_ENABLE_SSL_LEGACY variable |value ----------------------+----- GLOB_ENABLE_SSL_LEGACY|0 cli> extc global set variable GLOB_ENABLE_SSL_LEGACY value 1 OK cli> extc global get variable GLOB_ENABLE_SSL_LEGACY variable |value ----------------------+----- GLOB_ENABLE_SSL_LEGACY|1 cli> appmgmt config application "securepoint_firewall" cli> appmgmt config application "fwserver"
Häufige Statusmeldungen:
| Status | Beschreibung | Hinweis |
|---|---|---|
| KEY | Der öffentliche und private Schlüssel liegen vor | Es kann ver- und entschlüsselt werden: |
| VALID | Das Zertifikat ist gültig | Es kann ver- und entschlüsselt werden: |
| INIT | Das Zertifikat wird gerade initialisiert (Nur ACME-Zertifikate) | |
| KEY | Der private Schlüssel liegt nicht vor | Es kann lediglich verschlüsselt, nicht aber entschlüsselt werden |
| UNABLE TO GET CERTIFICATE CRL | Es konnte keine aktuelle CRL gefunden werden. | |
| UNABLE TO GET LOCAL ISSUER CERTIFICATE | Der lokale Aussteller kann nicht gefunden werden. Dies tritt auf, wenn das Ausstellerzertifikat eines nicht vertrauenswürdigen Zertifikats nicht gefunden werden kann. |
|
| certificate has expired | Das Zertifikat ist abgelaufen. Das notAfter-Datum liegt vor der aktuellen Uhrzeit. |
|
| certificate is not yet valid | Das Zertifikat ist noch nicht gültig: Das notBefore-Datum liegt nach der aktuellen Uhrzeit. | |
| CRL is not yet valid | Die CRL ist noch nicht gültig | |
| CRL has expired | Die CRL ist abgelaufen | |
| certificate revoked | Das Zertifikat wurde widerrufen. | In Produktivumgebungen sollten widerrufene Zertifikate nicht widerhergestellt werden. Hier ist das Erstellen eines neuen Zertifikates meistens die bessere Lösung. |
| unsupported or invalid name syntax UNSUPPORTED_CONSTRAINT_SYNTAX |
Nicht unterstützte oder ungültige Syntax der Namensbeschränkung | Das Format der Namensbeschränkung wird nicht berücksichtigt: zum Beispiel ein E-Mail-Adressformat einer Form, die nicht in RFC3280 erwähnt wird. Bspw. ein -. |
| CRL lokal generiert | Die CRL wurde auf diesem Gerät erstellt | Entweder, es handelt sich um ein Zertifikat, das lokal erstellt wurde, oder es wurde (bisher) keine passende CRL importiert. |
| CRL importiert | Die CRL wurde importiert |
Weitere Statusmeldungen finden sich in der Dokumentation von OpenSSL©
Zertifikate / CAs exportieren
| notempty Neu ab: v12.5
|
 | ||
| ' |
| ||
| ' |
| ||
| ' | Startet den Export im CRL-Format (Certificate Revokation List) | ||
Zertifikate / CAs widerrufen
| Bereich CA / Zertifikate | ||
| Widerruft ein Zertifikat oder eine CA. Die Sicherheitsabfrage muss mit Ja bestätigt werden. Sollen mehrere Zertifikate widerrufen werden, kann das Einblenden der Sicherheitsabfrage vorübergehend deaktiviert werden.
|
 | |
| Widerrufen | ||
| Zeigt alle widerrufenen CAs und Certifikate mit zugehörigen CAs an |  | |
| Entsperrt eine CA oder ein Zertifikat und stellt es wieder her. Das sollte nur bei lokalen CAs oder Zertifikaten, deren CRL noch nicht exportiert wurde, durchgeführt werden!
| ||
| Löscht das Zertifikat. Das sollte nur bei lokalen CAs oder Zertifikaten, die nicht in Produktivumgebungen genutzt wurden, durchgeführt werden!
| ||
| Zeigt alle CAs und Zertifikate mit ihrem Status und dem Typ der CRL an |  | |
| Exportiert die CRL einer CA bzw eines Zertifikates | ||
| Importiert eine CRL | ||
| Ein | Aktiviert ACME Dienste (Automatic Certificate Management Environment) Siehe ACME Zertifikate | |