NetScaler / Citrix ADC SSL-certifikat via ACME

Uppsättning

Steg 1: Installera simple-acme

Hämta FairSSL-utgåvan av simple-acme (förkonfigurerad med ACME-adress och förnyelseinställningar, och innehåller Install-NetScalerCert.ps1 i Scripts-mappen). Packa upp till C:\simple-acme. Installera sedan CredentialManager-modulen som skriptet använder för att slå upp inloggning säkert.

Install-Module CredentialManager -Force -Scope CurrentUser

Steg 2: Skapa NITRO-användare på NetScaler

På NetScaler: skapa en dedikerad automatiseringsanvändare som får använda NITRO API för att ladda upp SSL-filer, skapa eller uppdatera SSL cert-key-par, binda certifikat till SSL vServere och spara konfigurationen. Spara kontots inloggningsuppgifter i Windows Credential Manager på managementservern.

$credential = Get-Credential -UserName "nsadmin" -Message "NetScaler NITRO-användare"
New-StoredCredential -Target "NetScaler-acme-user" -Credentials $credential -Persist LocalMachine

Steg 3: Konfigurera Auto DNS

I din FairSSL-kontrollpanel: skapa en CNAME-post för _acme-challenge.<din-domän> till FairSSLs DNS-server. Engångsuppsättning. Se den fullständiga Auto DNS-guiden.

Steg 4: Utfärda och installera

Kör kommandot från C:\simple-acme som administratör. Ersätt YOUR_NS_HOST, YOUR_ADC_CERTKEY_NAME och YOUR_VSERVER_NAME. Om du förnyar ett certifikat som redan är bundet ska du ange det befintliga cert-key-namnet i -certName.

wacs.exe --verbose --baseuri "https://fairssl.dk/acme" `
  --eab-key-identifier DIN_EAB_KID --eab-key DIN_EAB_HMAC --accepttos `
  --source manual --host "ns.exempel.se" --validation none `
  --store pemfiles --pemfilespath "C:\simple-acme\Certificates" `
  --pemfilesname "ns-exempel-se" --friendlyname "fairssl-ns-cert" `
  --installation script --script ".\Scripts\Install-NetScalerCert.ps1" `
  --scriptparameters "-StorePath 'C:\simple-acme\Certificates' -FilePrefix 'ns-exempel-se' -nsHost 'YOUR_NS_HOST' -certName 'YOUR_ADC_CERTKEY_NAME' -vServerName 'YOUR_VSERVER_NAME' -CredentialTarget 'NetScaler-acme-user'"

Standard är -DeploymentMode Auto, som väljer SSL cert-key bundle på versioner som stödjer det och klassisk cert-key annars. Använd -DeploymentMode Classic om enheten kräver den äldre metoden.

Steg 5: Vanliga varianter

• Flera vServere: använd -vServerName 'VS1,VS2'
• SNI-bindningar: lägg till -SniCert
• Citrix Gateway / global VPN: ta bort -vServerName och lägg till -BindGlobalVpn
• Betrott managementcertifikat: lägg till -ValidateManagementCertificate
• Använd HTTPS för management: -UseHttp finns som alternativ, men använd den bara på ett isolerat managementnätverk, eftersom inloggningsuppgifter och privata nycklar annars skickas okrypterat.

Steg 6: Verifiera

I NetScalers webb-UI: kontrollera under Traffic Management > SSL > Certificates att det nya certifikatet är uppladdat och att den valda SSL vServern eller VPN-bindningen använder det. Om tjänsten är publik, kör värdnamnet genom FairSSLs SSL-skanner.