SSL-certifikat på NetScaler / Citrix ADC via ACME

Konfiguration

Steg 1: Installera simple-acme

Hämta FairSSL-utgåvan av simple-acme (förkonfigurerad med ACME-adress och förnyelseinställningar, med Install-NetScalerCert.ps1 i mappen Scripts). Packa upp den till C:\simple-acme. Installera sedan CredentialManager-modulen, som skriptet använder för att hämta inloggningsuppgifterna säkert.

Install-Module CredentialManager -Force -Scope CurrentUser

Steg 2: Skapa NITRO-användare på NetScaler

Skapa en dedikerad automatiseringsanvändare på NetScaler som får använda NITRO API för att ladda upp SSL-filer, skapa eller uppdatera SSL cert-key-par, binda certifikat till SSL vServrar och spara konfigurationen. Spara kontots inloggningsuppgifter i Windows Credential Manager på managementservern.

$credential = Get-Credential -UserName "nsadmin" -Message "NetScaler NITRO-användare"
New-StoredCredential -Target "NetScaler-acme-user" -Credentials $credential -Persist LocalMachine

Steg 3: Konfigurera AutoDNS

Skapa via din FairSSL-kontrollpanel en CNAME-post för _dnsauth.<din-domän> som pekar på FairSSLs DNS-server. Det görs en gång. Se den fullständiga AutoDNS-guiden.

Steg 4: Utfärda och installera

Kör kommandot från C:\simple-acme som administratör. Ersätt YOUR_NS_HOST, YOUR_ADC_CERTKEY_NAME och YOUR_VSERVER_NAME. Om du förnyar ett certifikat som redan är bundet ska du ange det befintliga cert-key-namnet i -certName.

wacs.exe --verbose --baseuri "https://fairssl.dk/acme" `
  --eab-key-identifier DIN_EAB_KID --eab-key DIN_EAB_HMAC --accepttos `
  --source manual --host "ns.exempel.se" --validation none `
  --store pemfiles --pemfilespath "C:\simple-acme\Certificates" `
  --pemfilesname "ns-exempel-se" --friendlyname "fairssl-ns-cert" `
  --installation script --script ".\Scripts\Install-NetScalerCert.ps1" `
  --scriptparameters "-StorePath 'C:\simple-acme\Certificates' -FilePrefix 'ns-exempel-se' -nsHost 'YOUR_NS_HOST' -certName 'YOUR_ADC_CERTKEY_NAME' -vServerName 'YOUR_VSERVER_NAME' -CredentialTarget 'NetScaler-acme-user'"

Standard är -DeploymentMode Auto, som väljer SSL cert-key bundle på versioner som stöder det och klassisk cert-key annars. Använd -DeploymentMode Classic om enheten kräver den äldre metoden.

Steg 5: Vanliga varianter

• Flera vServrar: använd -vServerName 'VS1,VS2'
• SNI-bindningar: lägg till -SniCert
• Citrix Gateway / global VPN: ta bort -vServerName och lägg till -BindGlobalVpn
• Betrott managementcertifikat: lägg till -ValidateManagementCertificate
• HTTP i stället för HTTPS mot management: -UseHttp finns, men använd det bara på ett isolerat managementnätverk, eftersom inloggningsuppgifter och privata nycklar annars skickas okrypterade.

Steg 6: Verifiera

I NetScalers webbgränssnitt kontrollerar du under Traffic Management > SSL > Certificates att det nya certifikatet är uppladdat och att den valda SSL vServern eller VPN-bindningen använder det. Är tjänsten publik testar du värdnamnet med FairSSLs SSL-skanner.