SSL Automatisering
Windows, IIS og Exchange
På en Windows-server er udstedelsen den nemme del. Arbejdet ligger i, hvad der skal ske bagefter, og det er også der, den manuelle fornyelse plejer at gå galt.
Certifikatet skal tre steder, ikke ét
Et nyt certifikat på Windows skal importeres i certifikatlageret, have læserettigheder på den private nøgle til den konto, tjenesten kører som, og bindes til sitet. På Exchange skal det desuden aktiveres for de enkelte tjenester. RDS og ADFS binder på thumbprint, så et nyt certifikat betyder et nyt thumbprint, der skal ind i konfigurationen.
- Importér, sæt rettigheder på nøglen, bind i IIS.
- Exchange: aktivér certifikatet for IIS, SMTP, IMAP og POP.
- RDS og ADFS: opdatér thumbprint i konfigurationen.
Hvad den genererede opsætning gør
Guiden i kontrolpanelet skriver en kommandolinje til simple-ACME i FairSSL-udgaven, med kontonøglen og dine domænenavne sat ind. Den samme kommando opretter den planlagte opgave, der fornyer certifikatet fremover.
- Registrerer kontoen mod FairSSL ACME-serveren med EAB.
- Henter certifikatet og lægger det i Local Machine-lageret.
- Sætter rettigheder på den private nøgle, så tjenesten kan læse den.
- Binder i IIS og kører de installationsscripts, platformen kræver.
Hvor certifikatet ender
I Windows-certifikatlageret under Local Machine. IIS-bindingen peger på det, og på Exchange aktiveres det bagefter for IIS, SMTP, IMAP og POP. Det gamle certifikat bliver liggende i lageret, til det udløber, så en rollback er at skifte bindingen tilbage.
Det her skal du vide på forhånd
Exchange Back End beholder sit interne Microsoft Exchange-certifikat, og det skal fornyes for sig med Exchange-værktøjerne. Et wildcard-certifikat dækker OWA, EWS og ActiveSync, men SMTP, IMAP og POP bruger det kun, hvis det præcise FQDN også står som SAN i certifikatet. IIS 6 til 7.5 kan få certifikatet udstedt, men bindingen kan kræve en hånd.
Vejledninger til den her platform
Understøttede versioner
Guiden i kontrolpanelet er skrevet til disse versioner. Kører du en ældre version end den, der står her, så spørg os, før du bestiller.
Windows
| Platform | Versioner | Kører på | ACME-klient | Vejledning |
|---|---|---|---|---|
| IIS | VersionerIIS 8 og nyere | Kører påWindows Server 2012 eller nyere | ACME-klientsimple-acme 2.4.0+ (FairSSL-udgaven, .NET 10 medfølger) | Vejledning → |
| IIS (legacy) | VersionerIIS 6.0 til 7.5, IIS-bindingen sættes manuelt | Kører påWindows Server 2008 R2 eller ældre | ACME-klientEn ældre simple-acme-udgave, som stadig kører på Windows Server 2008 R2 | Vejledning → |
| Exchange Server | Versioner2013, 2016, 2019 og Subscription Edition | Kører påWindows Server 2012 eller nyere | ACME-klientsimple-acme 2.4.0+ (FairSSL-udgaven, .NET 10 medfølger) + ImportExchange.v3.ps1 | Vejledning → |
| Remote Desktop Services | VersionerRD Gateway (også uden RD Connection Broker), RD Web Access, RD Web Client, RD Connection Broker og RDP-lytteren | Kører påWindows Server 2012 eller nyere | ACME-klientsimple-acme 2.4.0+ (FairSSL-udgaven, .NET 10 medfølger) + ImportRDSFullFairSSL.ps1 | Vejledning → |
| Dynamics NAV / Business Central | VersionerNAV 2013 R2 og nyere, alle Business Central-versioner (on-premises) | Kører påWindows Server 2012 eller nyere | ACME-klientsimple-acme 2.4.0+ (FairSSL-udgaven, .NET 10 medfølger) + ImportDynamicsNAV.ps1 | Vejledning → |
| AD FS | VersionerGuiden sætter ingen versionsgrænse | Kører påWindows Server 2012 eller nyere | ACME-klientsimple-acme 2.4.0+ (FairSSL-udgaven, .NET 10 medfølger) + ImportADFS-WAP.v1.ps1 | Vejledning → |
| Web Application Proxy | VersionerGuiden sætter ingen versionsgrænse | Kører påWindows Server 2012 R2 eller nyere | ACME-klientsimple-acme 2.4.0+ (FairSSL-udgaven, .NET 10 medfølger) + ImportADFS-WAP.v1.ps1 | Vejledning → |
| SQL Server | VersionerGuiden sætter ingen versionsgrænse | Kører påWindows Server 2012 eller nyere | ACME-klientsimple-acme 2.4.0+ (FairSSL-udgaven, .NET 10 medfølger) + ImportSQL.ps1 | Vejledning → |
| PRTG Network Monitor | VersionerGuiden sætter ingen versionsgrænse | Kører påWindows Server 2012 eller nyere | ACME-klientsimple-acme 2.4.0+ (FairSSL-udgaven, .NET 10 medfølger) + ImportPRTG.ps1 | Vejledning → |
| Apache Tomcat | Versioner8.5, 9.x, 10.x og 11.x | Kører påWindows Server 2012 eller nyere | ACME-klientsimple-acme 2.4.0+ (FairSSL-udgaven, .NET 10 medfølger) + ImportTomcat.ps1 | Vejledning → |
| Anden Windows-service | VersionerCertificate Store, PFX eller PEM, med dit eget script | Kører påWindows Server 2012 eller nyere | ACME-klientsimple-acme 2.4.0+ (FairSSL-udgaven, .NET 10 medfølger) + ImportCustomWindows.ps1 | Vejledning → |
| Flere Windows-servere | VersionerModtagerne: Windows Server 2012 eller nyere med PowerShell 5.1 og WinRM | Kører påWindows Server 2012 eller nyere | ACME-klientsimple-acme 2.4.0+ (FairSSL-udgaven, .NET 10 medfølger) + DistributeToWindowsServers.ps1 | Vejledning → |
Validering uden at åbne noget ind til serveren
En ACME-klient, der validerer over HTTP, kræver port 80 åben ind til serveren. En klient, der validerer over DNS, kræver en API-nøgle til din DNS-udbyder, og den nøgle ligger så på serveren med skriveadgang til din zone. Interne servere og appliances kan sjældent nogen af delene.
Den ene CNAME du opretter per domæne
_dnsauth.<domain> CNAME <hash>.autodns.fairssl.dk
Du opretter den én gang per registreret domæne. FairSSL skriver CA’ens valideringsrecord i vores egen zone, og du rører ikke din DNS igen ved fornyelse.
Én record per domæne
Wildcards, SAN-navne og nye underdomæner på det samme registrerede domæne bruger den samme CNAME viderestilling.
Ingen DNS-nøgler på serveren
Klienten får aldrig adgang til din DNS-zone. En kompromitteret server kan derfor ikke ændre dine DNS-records.
Udgående HTTPS, ingen indgående regel
Serveren skal kunne kalde fairssl.dk over HTTPS. Der skal ikke åbnes en indgående regel i firewallen, og serveren behøver ikke en offentlig adresse.
Hvad der bliver overvåget, når klienten kører
En automatisering, der går i stå uden at sige det, er værre end en fornyelse i kalenderen. Vi måler derfor både certifikatet og den klient, der skal forny det.
Fornyelsesvindue hver time
Vi spørger CA’en via ARI, hvornår certifikatet bør fornyes, og tjekker hver time. Svarer CA’en ikke, falder vi tilbage til 21 og 7 dage før udløb.
Klienten holder op med at melde sig
Halveres en klients check-in-frekvens, sender vi en advarsel. Et certifikat kan være gyldigt længe efter, at den klient, der skulle forny det, er holdt op med at køre.
Om installationen lykkedes
Windows-klienten melder resultatet af installationen tilbage. Et certifikat, der er udstedt, men ikke bundet til sitet, tæller som en fejl.
E-mailalarmer per profil
Alarmer sættes op per profil, så drift og udvikling kan få besked på hver sin adresse.
Overvågnings-API
Status kan hentes som JSON eller læses direkte af PRTG og Prometheus, så certifikaterne står i det overvågningssystem, I allerede kigger på.
Certifikater uden automatisering
Certifikater, der ikke kører automatisk, får udløbsmail 28 dage og 7 dage før udløb.
Hvad automatiseringen koster
Gebyret betales per hovedcertifikat, per år, oveni prisen på selve certifikatet.
Kortere levetid betyder flere udstedelser om året. Antallet af udstedelser ændrer ikke prisen: du betaler for certifikatet under administration, ikke per fornyelse.
- Op til 25 servere, der bruger certifikatet, er med i gebyret. Hver server får sit eget genudstedte certifikat.
- Genudstedelser koster ikke ekstra.
- Ændringer i SAN-navnene på certifikatet koster ikke ekstra.
- Flere ACME-klienter, der bruger det samme certifikat, koster ikke ekstra.
Et certifikat mere prissættes for sig: certifikatets egen pris plus gebyret for et år.
Regneeksempel og prisdetaljer →Fra bestilling til et certifikat, der fornyer sig selv
Trin tre er det, der ikke findes i en generisk ACME-vejledning: opsætningen bliver skrevet til din platform.
- 1
Bestil certifikatet i kontrolpanelet og slå automatisering til på det.
- 2
Opret CNAME viderestillingen for domænet. Én gang per registreret domæne.
- 3
Vælg din platform i guiden. Portalen skriver opsætningskommandoen med kontonøgle og domæner sat ind, og du kopierer den med én knap.
- 4
Kør kommandoen på serveren. Klienten henter certifikatet, installerer det og fornyer det derefter selv.
Klienten til Windows pakker vi selv og bygger dagligt. Linux og macOS bruger stock lego, som den genererede kommando kalder. Hent Windows-klienten
Kom i gang i kontrolpanelet →Support på mail og telefon er gratis før, under og efter installationen. Fjerninstallation er et tilkøb til fast pris.
Find din platform
Guiden i kontrolpanelet skriver opsætningen til den platform, du vælger, med kontonøgle og domæner sat ind. Du kopierer den med én knap og kører den på serveren.
Windows
Simple-ACME i FairSSL-udgaven henter certifikatet, installerer det i certifikatlageret og binder det til sitet eller tjenesten.
IIS 8+, IIS 6-7.5, Exchange, RDS, ADFS, WAP, SQL Server, PRTG, Dynamics NAV/BC, Tomcat
Linux
Stock lego med FairSSL som ACME-server. Den genererede kommando skriver certifikatet og reloader tjenesten bagefter.
nginx, Apache, HAProxy, Traefik, Caddy, Postfix, lego
Se opsætningen →macOS
Lego, med den samme opsætning som på Linux.
lego
Appliances
FortiGate 7.6.3 og F5 BIG-IP 21.1.0 og nyere taler ACME selv. Ældre versioner og de øvrige bokse henter certifikatet gennem en agent eller en enrollment-URL.
FortiGate, FortiMail, FortiWeb, NetScaler ADC, F5 BIG-IP, Kemp LoadMaster, Cisco ASA, Cisco FDM, Kubernetes cert-manager
Se opsætningen →Det her er ikke med
Guiden skriver ikke en opsætning til pfSense, Synology, Palo Alto eller Sophos. Kører du en af dem, så spørg os før du køber, så vi kan se på, hvad der kan lade sig gøre.
Certifikater på mange servere og appliances
Et offentligt SSL-certifikat kan højst være gyldigt i 199 dage nu, 99 dage senest 15-03-2027 og 46 dage senest 15-03-2029. Hvert certifikat skal dermed skiftes mindst to gange om året nu og mindst otte gange om året fra 2029, på hver server, firewall og load balancer, det bruges på. sslbrain fra FairSSL kører som en appliance i jeres eget netværk og fornyer og installerer certifikaterne fra ét sted, også på udstyr uden agent.
Sådan forbinder I Windows-servere til sslbrain(åbner sslbrain.com i en ny fane)