PRTG Network Monitor: SSL-certifikat via ACME

Paessler PRTG använder sitt eget PEM-filformat för webbservern i stället för Windows Certificate Store. simple-acme och FairSSLs ImportPRTG-skript automatiserar hela processen: utfärdande, konvertering till PRTG-formatet, backup av de gamla filerna och omstart av PRTG Core Service.

Uppsättning

Steg 1: Installera simple-acme

Hämta FairSSL-utgåvan av simple-acme (förkonfigurerad med rätt ACME-inställningar och med ImportPRTG.ps1 i Scripts-mappen). Packa upp till C:\simple-acme på PRTG Core Server. Ingen separat managementvärd behövs - PRTG-servern kör simple-acme själv.

Steg 2: Förbered miljön

Domänen är konfigurerad för FairSSL Auto DNS.
Användarna når PRTG via det DNS-namn som står i certifikatet (inte en lokal IP).
Kommandotolken körs som administratör på PRTG Core Server.
ImportPRTG-skriptet hittar själv PRTG-programmappen via tjänsten, registret och standardinstallationssökvägarna.

Steg 3: Beställ certifikatet och installera

Kör kommandot från C:\simple-acme som administratör. simple-acme utfärdar certifikatet via FairSSL Auto DNS, sparar PEM-filerna, kör ImportPRTG-skriptet, tar backup av de befintliga PRTG-filerna, skriver prtg.crt, prtg.key och root.pem och startar om PRTG Core Service.

wacs.exe --verbose --baseuri "https://fairssl.dk/acme" `
  --eab-key-identifier DIN_EAB_KID --eab-key DIN_EAB_HMAC --accepttos `
  --source manual --host "prtg.exempel.se" --validation none `
  --store pemfiles --pemfilespath "C:\simple-acme\Certificates" `
  --pemfilesname "prtg-exempel-se" --friendlyname "fairssl-prtg-cert" `
  --installation script --script ".\Scripts\ImportPRTG.ps1" `
  --scriptparameters "C:\simple-acme\Certificates prtg-exempel-se"

Steg 4: Anpassad PRTG-installationssökväg (valfritt)

Om PRTG är installerat på en icke-standard sökväg och autodetekteringen inte hittar cert-mappen kan den anges som tredje skriptparameter:

--scriptparameters "C:\simple-acme\Certificates prtg-exempel-se \"D:\PRTG Network Monitor\cert\""

Steg 5: Verifiera

Öppna PRTG-webbgränssnittet i en webbläsare och kontrollera att det nya certifikatet visas.
Kontrollera att PRTG cert-mappen innehåller prtg.crt, prtg.key och root.pem.
Om remote probes också ska använda webbservercertifikatet, kopiera samma tre filer till cert-mappen på respektive probe.
Verifiera publikt med FairSSLs SSL-skanner.

Felsökning

Webbläsaren visar fortfarande det gamla certifikatet

PRTG cachar webbservercertifikatet tills Core Service startas om. ImportPRTG-skriptet startar om PRTG Core Service automatiskt, men om skriptet körts som en användare utan rätt att starta om tjänster, så starta om manuellt: Restart-Service PRTGCoreService.

Skriptet stoppar: "källnyckeln ser krypterad ut"

PRTG kan inte hantera lösenordsskyddade privata nycklar. Kör simple-acme utan --pemfiles-password eller ta bort eventuell kryptering före upload. simple-acme producerar som standard okrypterade PEM-filer, så du måste aktivt ha lagt till en lösenordsparameter för att träffa detta fel.

ImportPRTG kan inte hitta PRTG-programmappen

Standardplaceringen är C:\Program Files (x86)\PRTG Network Monitor. Om PRTG kör från en annan mapp, ange sökvägen till cert-undermappen som tredje skriptparameter (se Steg 4). Kontrollera även att PRTGCoreService-tjänsten kör, så att skriptet kan slå upp ImagePath.

Vanliga frågor

Hitta svar på de vanligaste frågorna om SSL-certifikat och FairSSL.

Var lägger PRTG sitt webbservercertifikat?

PRTG körs på Windows men använder inte Windows Certificate Store för webbservern. Den läser tre filer från cert-mappen i PRTG-programmappen: prtg.crt (certifikatet), prtg.key (den privata nyckeln, okrypterad) och root.pem (CA-kedjan). Vårt ImportPRTG-skript skriver exakt dessa tre filer, tar backup av de gamla och startar om PRTG Core Service.

Avbryts övervakningen vid förnyelse?

Endast kortvarigt. PRTG Core Service startas om, vilket pausar web-UI och övervakningen i några sekunder. Probes på samma server fortsätter samla in data, och remote probes missar som mest en enstaka scanning. Vi rekommenderar att schemalägga förnyelsen utanför kritiska tidsfönster om det spelar roll.

Vad gäller för remote probes?

Om dina remote probes också ska presentera samma webbservercertifikat ska de tre filerna (prtg.crt, prtg.key, root.pem) kopieras till cert-mappen på respektive probe-värd. Säkerheten mellan probe och Core Server bygger på PRTG:s egen interna signering och påverkas inte av webbservercertifikatet.

PRTG ligger på en oväntad sökväg. Vad gör jag?

ImportPRTG-skriptet hittar normalt PRTG-programmappen automatiskt via tjänsten, registret och standardinstallationssökvägar. Om PRTG är installerat på en icke-standard plats (t.ex. D:\PRTG Network Monitor) kan du ange cert-mappen som tredje skriptparameter, så hoppas autodetekteringen över.

Kräver PRTG en okrypterad privat nyckel?

Ja. PRTG kan inte hantera lösenordsskyddade nycklar. simple-acme utfärdar den privata nyckeln okrypterad som standard, och ImportPRTG-skriptet normaliserar radbrytningar så att filerna läses korrekt. Skriptet stoppar före installationen om källnyckeln ser krypterad ut.

Vad händer vid förnyelse?

simple-acme schemalägger automatiskt en daglig aktivitet. När ARI eller den inbyggda 7-dagars fallback utlöser förnyelse hämtas ett nytt certifikat, ImportPRTG-skriptet körs igen och PRTG Core Service startas om med de nya filerna. Ingen manuell åtgärd krävs.

Redo att automatisera PRTG-certifikat?

Skapa ett gratis konto och utfärda ditt första certifikat på under 10 minuter.

Skapa gratis konto Jämför certifikat