SSL Automatisering
NetScaler og Citrix ADC
En NetScaler har ingen ACME-klient. Automatiseringen sker derfor et andet sted, og enheden får certifikatet skubbet ind over sit eget administrations-API.
Udskiftningen rammer hver eneste SSL vServer
Et nyt certifikat skal uploades som fil, kobles sammen med sin private nøgle i et cert-key-par og derefter bindes på de virtuelle servere, der bruger det. Jo flere vServere, jo længere er den liste, og en enkelt binding, der bliver glemt, kører videre på det gamle certifikat, til det udløber.
Hvad den genererede opsætning gør
En Windows-host kører simple-ACME. Certifikatet hentes fra FairSSL, og et installationsscript logger på NetScaler over NITRO REST API og opdaterer både certifikatet og de bindinger, du har navngivet. Kontooplysningerne til NITRO ligger i Windows Credential Manager og ikke i kommandolinjen.
- Henter certifikatet og gemmer det som PEM-filer på hosten.
- Uploader det til NetScaler og opdaterer cert-key-parret.
- Binder til de SSL vServere, du har angivet.
- Kører igen automatisk, når fornyelsesvinduet åbner.
Hvor certifikatet ender
Som et SSL cert-key bundle på 14.1 build 21.x og nyere, ellers som et klassisk SSL cert-key. Du finder det i webgrænsefladen under Traffic Management, SSL, Certificates. Bindingerne peger på det samme objekt, så en fornyelse ikke kræver nye bindinger.
Det her skal du vide på forhånd
Et bundle kan kun bindes til SSL vServere. Binding til Citrix Gateway eller global VPN bruger derfor det klassiske cert-key, som scriptet også kan lave. NetScalers administrationsgrænseflade skal ikke være åben mod internettet; Windows-hosten skal bare kunne nå den over HTTPS på det interne net. NITRO-brugeren skal have de kommandorettigheder, der dækker certifikathåndtering.
Vejledninger til den her platform
Understøttede versioner
Guiden i kontrolpanelet er skrevet til disse versioner. Kører du en ældre version end den, der står her, så spørg os, før du bestiller.
| Platform | Versioner | Kører på | ACME-klient |
|---|---|---|---|
| NetScaler ADC | VersionerGuiden sætter ingen versionsgrænse | Kører påWindows Server 2016 eller nyere, eller 2012/2012 R2 med WMF 5.1 (PowerShell 5.1) | ACME-klientsimple-acme 2.4.0+ (FairSSL-udgaven, .NET 10 medfølger) + NITRO API, CredentialManager |
Validering uden at åbne noget ind til serveren
En ACME-klient, der validerer over HTTP, kræver port 80 åben ind til serveren. En klient, der validerer over DNS, kræver en API-nøgle til din DNS-udbyder, og den nøgle ligger så på serveren med skriveadgang til din zone. Interne servere og appliances kan sjældent nogen af delene.
Den ene CNAME du opretter per domæne
_dnsauth.<domain> CNAME <hash>.autodns.fairssl.dk
Du opretter den én gang per registreret domæne. FairSSL skriver CA’ens valideringsrecord i vores egen zone, og du rører ikke din DNS igen ved fornyelse.
Én record per domæne
Wildcards, SAN-navne og nye underdomæner på det samme registrerede domæne bruger den samme CNAME viderestilling.
Ingen DNS-nøgler på serveren
Klienten får aldrig adgang til din DNS-zone. En kompromitteret server kan derfor ikke ændre dine DNS-records.
Udgående HTTPS, ingen indgående regel
Serveren skal kunne kalde fairssl.dk over HTTPS. Der skal ikke åbnes en indgående regel i firewallen, og serveren behøver ikke en offentlig adresse.
Hvad der bliver overvåget, når klienten kører
En automatisering, der går i stå uden at sige det, er værre end en fornyelse i kalenderen. Vi måler derfor både certifikatet og den klient, der skal forny det.
Fornyelsesvindue hver time
Vi spørger CA’en via ARI, hvornår certifikatet bør fornyes, og tjekker hver time. Svarer CA’en ikke, falder vi tilbage til 21 og 7 dage før udløb.
Klienten holder op med at melde sig
Halveres en klients check-in-frekvens, sender vi en advarsel. Et certifikat kan være gyldigt længe efter, at den klient, der skulle forny det, er holdt op med at køre.
Om installationen lykkedes
Windows-klienten melder resultatet af installationen tilbage. Et certifikat, der er udstedt, men ikke bundet til sitet, tæller som en fejl.
E-mailalarmer per profil
Alarmer sættes op per profil, så drift og udvikling kan få besked på hver sin adresse.
Overvågnings-API
Status kan hentes som JSON eller læses direkte af PRTG og Prometheus, så certifikaterne står i det overvågningssystem, I allerede kigger på.
Certifikater uden automatisering
Certifikater, der ikke kører automatisk, får udløbsmail 28 dage og 7 dage før udløb.
Hvad automatiseringen koster
Gebyret betales per hovedcertifikat, per år, oveni prisen på selve certifikatet.
Kortere levetid betyder flere udstedelser om året. Antallet af udstedelser ændrer ikke prisen: du betaler for certifikatet under administration, ikke per fornyelse.
- Op til 25 servere, der bruger certifikatet, er med i gebyret. Hver server får sit eget genudstedte certifikat.
- Genudstedelser koster ikke ekstra.
- Ændringer i SAN-navnene på certifikatet koster ikke ekstra.
- Flere ACME-klienter, der bruger det samme certifikat, koster ikke ekstra.
Et certifikat mere prissættes for sig: certifikatets egen pris plus gebyret for et år.
Regneeksempel og prisdetaljer →Fra bestilling til et certifikat, der fornyer sig selv
Trin tre er det, der ikke findes i en generisk ACME-vejledning: opsætningen bliver skrevet til din platform.
- 1
Bestil certifikatet i kontrolpanelet og slå automatisering til på det.
- 2
Opret CNAME viderestillingen for domænet. Én gang per registreret domæne.
- 3
Vælg din platform i guiden. Portalen skriver opsætningskommandoen med kontonøgle og domæner sat ind, og du kopierer den med én knap.
- 4
Kør kommandoen på serveren. Klienten henter certifikatet, installerer det og fornyer det derefter selv.
Klienten til Windows pakker vi selv og bygger dagligt. Linux og macOS bruger stock lego, som den genererede kommando kalder. Hent Windows-klienten
Kom i gang i kontrolpanelet →Support på mail og telefon er gratis før, under og efter installationen. Fjerninstallation er et tilkøb til fast pris.
Find din platform
Guiden i kontrolpanelet skriver opsætningen til den platform, du vælger, med kontonøgle og domæner sat ind. Du kopierer den med én knap og kører den på serveren.
Windows
Simple-ACME i FairSSL-udgaven henter certifikatet, installerer det i certifikatlageret og binder det til sitet eller tjenesten.
IIS 8+, IIS 6-7.5, Exchange, RDS, ADFS, WAP, SQL Server, PRTG, Dynamics NAV/BC, Tomcat
Se opsætningen →Linux
Stock lego med FairSSL som ACME-server. Den genererede kommando skriver certifikatet og reloader tjenesten bagefter.
nginx, Apache, HAProxy, Traefik, Caddy, Postfix, lego
Se opsætningen →macOS
Lego, med den samme opsætning som på Linux.
lego
Appliances
FortiGate 7.6.3 og F5 BIG-IP 21.1.0 og nyere taler ACME selv. Ældre versioner og de øvrige bokse henter certifikatet gennem en agent eller en enrollment-URL.
FortiGate, FortiMail, FortiWeb, NetScaler ADC, F5 BIG-IP, Kemp LoadMaster, Cisco ASA, Cisco FDM, Kubernetes cert-manager
Se opsætningen →Det her er ikke med
Guiden skriver ikke en opsætning til pfSense, Synology, Palo Alto eller Sophos. Kører du en af dem, så spørg os før du køber, så vi kan se på, hvad der kan lade sig gøre.
Certifikater på mange servere og appliances
Et offentligt SSL-certifikat kan højst være gyldigt i 199 dage nu, 99 dage senest 15-03-2027 og 46 dage senest 15-03-2029. Hvert certifikat skal dermed skiftes mindst to gange om året nu og mindst otte gange om året fra 2029, på hver server, firewall og load balancer, det bruges på. sslbrain fra FairSSL kører som en appliance i jeres eget netværk og fornyer og installerer certifikaterne fra ét sted, også på udstyr uden agent.
Sådan fornyer og installerer sslbrain certifikater på NetScaler(åbner sslbrain.com i en ny fane)