PRTG Network Monitor: SSL-certifikat via ACME

Paessler PRTG läser webbserverns certifikat från egna PEM-filer i stället för från Windows Certificate Store. simple-acme och FairSSLs ImportPRTG-skript automatiserar hela processen: utfärdande, konvertering till PRTG-formatet, backup av de gamla filerna och omstart av PRTG Core Service.

Versioner som stöds

Plattform	Versioner	Körs på	ACME-klient
PRTG Network Monitor	VersionerGuiden sätter ingen versionsgräns	Körs påWindows Server 2012 eller senare	ACME-klientsimple-acme 2.4.0+ (FairSSL-utgåvan, .NET 10 ingår) + ImportPRTG.ps1

Uppsättning

Steg 1: Installera simple-acme

Hämta FairSSL-utgåvan av simple-acme (förkonfigurerad med rätt ACME-inställningar och med ImportPRTG.ps1 i mappen Scripts). Packa upp den till C:\simple-acme på PRTG Core Server. simple-acme körs direkt på PRTG-servern, så du behöver ingen separat administrationsserver.

Steg 2: Förbered miljön

Domänen är konfigurerad för FairSSL AutoDNS.
Användarna når PRTG via det DNS-namn som står i certifikatet (inte via en lokal IP-adress).
Kommandotolken körs som administratör på PRTG Core Server.
ImportPRTG-skriptet hittar PRTG-programmappen själv via tjänsten, registret och standardsökvägarna för installation.

Steg 3: Beställ och installera certifikatet

Kör kommandot från C:\simple-acme som administratör. simple-acme utfärdar certifikatet via FairSSL AutoDNS, sparar PEM-filerna, kör ImportPRTG-skriptet, tar backup av de befintliga PRTG-filerna, skriver prtg.crt, prtg.key och root.pem och startar om PRTG Core Service.

wacs.exe --verbose --baseuri "https://fairssl.dk/acme" `
  --eab-key-identifier DIN_EAB_KID --eab-key DIN_EAB_HMAC --accepttos `
  --source manual --host "prtg.exempel.se" --validation none `
  --store pemfiles --pemfilespath "C:\simple-acme\Certificates" `
  --pemfilesname "prtg-exempel-se" --friendlyname "fairssl-prtg-cert" `
  --installation script --script ".\Scripts\ImportPRTG.ps1" `
  --scriptparameters "C:\simple-acme\Certificates prtg-exempel-se"

Steg 4: Annan installationssökväg för PRTG (valfritt)

Är PRTG installerat på en annan sökväg än standard och hittar skriptet inte cert-mappen automatiskt kan du ange den som tredje skriptparameter:

--scriptparameters "C:\simple-acme\Certificates prtg-exempel-se \"D:\PRTG Network Monitor\cert\""

Steg 5: Verifiera

Öppna PRTG-webbgränssnittet i en webbläsare och kontrollera att det nya certifikatet visas.
Kontrollera att cert-mappen i PRTG innehåller prtg.crt, prtg.key och root.pem.
Ska remote probes också använda webbservercertifikatet kopierar du samma tre filer till cert-mappen på varje probe.
Testa utifrån med FairSSLs SSL-skanner.

Felsökning

Webbläsaren visar fortfarande det gamla certifikatet

PRTG håller kvar webbservercertifikatet i minnet tills Core Service startas om. ImportPRTG-skriptet startar om PRTG Core Service automatiskt, men har skriptet körts av en användare utan behörighet att starta om tjänster måste du starta om tjänsten manuellt: Restart-Service PRTGCoreService.

Skriptet avbryts: "källnyckeln ser krypterad ut"

PRTG kan inte hantera lösenordsskyddade privata nycklar. Kör simple-acme utan --pemfiles-password eller ta bort krypteringen före installationen. simple-acme skapar okrypterade PEM-filer som standard, så felet uppstår bara om en lösenordsparameter har lagts till.

ImportPRTG hittar inte PRTG-programmappen

Standardsökvägen är C:\Program Files (x86)\PRTG Network Monitor. Körs PRTG från en annan mapp anger du sökvägen till undermappen cert som tredje skriptparameter (se steg 4). Kontrollera också att tjänsten PRTGCoreService är igång, så att skriptet kan läsa ImagePath.

Vanliga frågor

Hitta svar på de vanligaste frågorna om SSL-certifikat och FairSSL.

Var lägger PRTG sitt webbservercertifikat?

PRTG körs på Windows men använder inte Windows Certificate Store för webbservern. Programmet läser tre filer från cert-mappen i PRTG-programmappen: prtg.crt (certifikatet), prtg.key (den privata nyckeln, okrypterad) och root.pem (CA-kedjan). Vårt ImportPRTG-skript skriver exakt dessa tre filer, tar backup av de gamla och startar om PRTG Core Service.

Avbryts övervakningen vid förnyelse?

Bara kort. När PRTG Core Service startas om pausas webbgränssnittet och övervakningen i några sekunder. Probes på samma server fortsätter att samla in data, och remote probes missar som mest en enstaka skanning. Spelar det roll för dig, schemalägg förnyelsen utanför de tider då övervakningen behövs mest.

Vad gäller för remote probes?

Ska dina remote probes också visa samma webbservercertifikat kopierar du de tre filerna (prtg.crt, prtg.key, root.pem) till cert-mappen på varje probe-värd. Säkerheten mellan probe och Core Server bygger på PRTG:s egen interna signering och påverkas inte av webbservercertifikatet.

PRTG är installerat på en annan sökväg. Vad gör jag?

ImportPRTG-skriptet hittar normalt PRTG-programmappen automatiskt via tjänsten, registret och standardsökvägarna för installation. Är PRTG installerat någon annanstans (t.ex. D:\PRTG Network Monitor) anger du cert-mappen som tredje skriptparameter, så hoppar skriptet över den automatiska sökningen.

Kräver PRTG en okrypterad privat nyckel?

Ja. PRTG kan inte hantera lösenordsskyddade nycklar. simple-acme skriver den privata nyckeln okrypterad som standard, och ImportPRTG-skriptet normaliserar radbrytningarna så att filerna läses in korrekt. Skriptet avbryter före installationen om källnyckeln ser krypterad ut.

Vad händer vid förnyelse?

simple-acme lägger automatiskt upp en schemalagd aktivitet som körs dagligen. När ARI, eller gränsen på 7 dagar före utgångsdatum, utlöser förnyelsen hämtas ett nytt certifikat, ImportPRTG-skriptet körs igen och PRTG Core Service startas om med de nya filerna. Ingen manuell åtgärd krävs.

Redo att automatisera PRTG-certifikat?

Skapa ett gratis konto och beställ ditt första certifikat. Ett DV-certifikat utfärdas på under 2 minuter.

Skapa gratis konto Jämför certifikat