كيفية إنشاء CSR على Cerberus FTP Server

يوضح لك هذا الدليل كيفية إنشاء CSR على Cerberus FTP Server. نقلت Cerberus عملية إنشاء CSR من مربع حوار Windows القديم إلى Server Manager المستند إلى المتصفح في الإصدار 13.1 (سبتمبر 2023)، وأزالت عنصر القائمة الأصلي في نفس الإصدار. ثم تحول ترقيم الإصدارات إلى نظام تقويمي، بحيث يستخدم كل إصدار ابتداءً من 2024.1 فصاعدًا، بما في ذلك إصدارات 2026 الحالية، النموذج المستند إلى الويب الموضح أدناه. أصبح المنتج الآن جزءًا من Redwood Software ويُنشر باسم Cerberus FTP Server by Redwood، لكن الإعدادات المذكورة هنا لم تتغير.

إنشاء CSR على Cerberus FTP Server

إذا كنت قد أنشأت CSR بالفعل واستلمت الشهادة الموقعة من جهة إصدار الشهادات (CA) الخاصة بك، فتخطَّ إلى تثبيت شهادة SSL على Cerberus FTP Server.

لديك خياران:

• استخدام أداة إنشاء CSR الخاصة بنا لإنشاء CSR والمفتاح الخاص على جهازك، ثم نسخ الملفين إلى خادم Cerberus.
• اتباع الخطوات أدناه لإنشاء CSR داخل Cerberus، مما يحافظ على بقاء المفتاح الخاص على الخادم الذي سيستخدمه.

الخطوة 1: فتح نموذج CSR

1. افتح Server Manager وحدد علامة التبويب Security.
2. في لوحة General، مرر إلى قسم TLS Server Key Pair. تُسمي الإصدارات القديمة هذا القسم Server Key Pair.
3. انقر على Create A CSR. تفتح نافذة Create A Certificate Signing Request.

نظرًا لأن هذا النموذج موجود في واجهة الإدارة عبر الويب، يمكنك إنشاء CSR عن بُعد بدلاً من تسجيل الدخول إلى وحدة تحكم الخادم. يحتوي نفس القسم على زر Create Self Signed Cert، الذي ينتج شهادة للاختبار الداخلي فقط. لا تحظى الشهادة ذاتية التوقيع بثقة العملاء، لذا إذا أردت أن يتصل مستخدمو FTPS وHTTPS لديك دون تحذيرات، فأنت بحاجة إلى مسار CSR وشهادة موقعة من جهة إصدار شهادات عامة (CA).

الخطوة 2: تعبئة تفاصيل الشهادة

يطلب النموذج البيانات التالية، بهذا الترتيب. كل حقل باستثناء Contact Email يتطلب قيمة.

• Common Name: اسم النطاق المؤهل بالكامل (FQDN) الذي يستخدمه العملاء للوصول إلى الخادم، على سبيل المثال ftp.yoursite.com. بالنسبة لخادم FTP، غالبًا ما لا يكون هذا هو نفس اسم المضيف الخاص بموقعك الإلكتروني، لذا استخدم الاسم الذي يتصل به مستخدمو FTPS والويب فعليًا. بالنسبة لـشهادة wildcard، ضع علامة النجمة أمام النطاق، كما في *.yoursite.com.
• State/Province: الاسم الكامل للولاية أو المقاطعة التي تُسجَّل فيها مؤسستك، على سبيل المثال California. لا تختصره.
• Organization: الاسم القانوني الكامل لشركتك، على سبيل المثال Your Company LLC. بالنسبة لشهادة شخصية أو مُتحقق منها بالنطاق، أدخل الاسم المسجَّل به النطاق.
• Organization Unit: حقل القسم القديم. أزال منتدى CA/Browser هذا الحقل في سبتمبر 2022، ولم يعد مسموحًا به في شهادات TLS الموثوقة عمومًا، لذا ستتجاهل جهة إصدار الشهادات (CA) أي شيء تكتبه. لا يزال Cerberus يتطلب قيمة، لذا أدخل شيئًا محايدًا مثل IT أو NA.
• Locality (City): اسم المدينة الكامل، على سبيل المثال San Francisco.
• Contact Email: الحقل الوحيد في هذه القائمة المسموح لك بتركه فارغًا. ليس له أي تأثير على عملية الإصدار، حيث تصل جهة إصدار الشهادات (CA) إليك من خلال بيانات الاتصال في طلبك وليس من خلال CSR.
• 2-Digit Country Code: رمز الدولة المكوَّن من حرفين وفق معيار ISO 3166-1، يُكتَب في مربع نص بدلاً من اختياره من قائمة، على سبيل المثال US أو GB أو CA.

اكتب هذه البيانات بعناية، لكن لا تبالغ في القلق بشأنها. تبني جهة إصدار الشهادات (CA) موضوع الشهادة من سجلات التحقق الخاصة بها، وليس من CSR الخاص بك. في الشهادة المُتحقَّق منها بالنطاق، لا تظهر أي من قيم المؤسسة أو المدينة أو الولاية في الشهادة الصادرة على الإطلاق. وفي الشهادة المُتحقَّق منها بالمؤسسة أو الشهادة الموسعة التحقق، تظهر هذه القيم، لكن فقط بعد أن تؤكدها جهة إصدار الشهادات (CA) مقابل السجلات الرسمية، لذا يُصحَّح أي خطأ إملائي هنا أثناء التحقق بدلاً من أن يُثبَّت في الشهادة.

الخطوة 3: اختيار نوع المفتاح وطوله وخوارزمية التوقيع

تحدد هذه القوائم المنسدلة الثلاث نوع زوج المفاتيح الذي ينشئه Cerberus. هذا هو الجزء من النموذج الذي ينتج فيه الاختيار الخاطئ CSR لا يمكن لأي جهة إصدار شهادات (CA) عامة توقيعه، لذا يستحق لحظة من التفكير.

• Key Type: يوفر Cerberus RSA وDSA وECDSA وEdDSA 25519 وEdDSA 448. يُسمح فقط بـRSA وECDSA في شهادات TLS الموثوقة عمومًا وفقًا للمتطلبات الأساسية لمنتدى CA/Browser. سيُرفَض أي CSR مبني على DSA أو EdDSA 25519 أو EdDSA 448 من قِبل كل جهة إصدار شهادات (CA) عامة، لذا اختر أحد الخيارين الأولين. RSA هو الخيار الافتراضي الآمن والأكثر دعمًا بين الاثنين؛ اختر ECDSA فقط إذا كنت تعرف أن العملاء المتصلين بخادمك يدعمونه.
• Key Length: تتغير الخيارات حسب نوع المفتاح. بالنسبة لـ RSA، فإن 2048 هو الطول الافتراضي والحد الأدنى الذي تقبله جهة إصدار شهادات (CA) عامة؛ انتقل إلى 3072 أو 4096 فقط إذا كانت سياسة الأمان الخاصة بك تتطلب ذلك، مع الأخذ في الاعتبار أن مفاتيح RSA الأكبر تستغرق وقتًا أطول في المصافحة (handshake) على خادم نقل مزدحم. بالنسبة لـ ECDSA، التزم بمنحنيات NIST وهي P-256 أو P-384 أو P-521، لأنه لا يُسمح بأي منحنى آخر.
• Signing Algorithm: اترك هذا الخيار على sha256. يُصنِّف Cerberus الخيارات الأقدم بعلامة (Legacy)، وترفض بعض جهات إصدار الشهادات (CAs) CSR موقَّعًا ذاتيًا بـ SHA-1. يوقِّع هذا الإعداد CSR نفسه وليس له علاقة بالخوارزمية التي تستخدمها جهة إصدار الشهادات (CA) لتوقيع شهادتك، لذا لا فائدة من تغييره.

الخطوة 4: تعيين كلمة مرور المفتاح الخاص وخيار التنزيل

• Private Password: اختياري، لكنه مُوصى به، لأنه يشفِّر ملف المفتاح الخاص أثناء التخزين. لا يخزِّن Cerberus كلمة المرور هذه في أي مكان، ولا يمكن استعادتها. سجِّلها في مدير كلمات المرور الخاص بك قبل المتابعة، لأنك ستُسأل عنها عند تحميل الشهادة الصادرة وتحديد Needs Key Password في علامة التبويب Security.
• Download the CSR after creation: حدِّد هذا الخيار للحصول على نسخة من CSR في مجلد التنزيلات في متصفحك. يُنزَّل CSR فقط. لا يُرسَل المفتاح الخاص أبدًا إلى المتصفح.

سواء حدَّدت المربع أم لا، يكتب Cerberus كلا الملفين في مجلد الشهادات على الخادم، وهو افتراضيًا C:ProgramDataCerberus LLCCerberus FTP Servercertificates. يعرض النموذج المسار الدقيق الذي سيستخدمه. لاحظ أن المجلد لا يزال يحمل اسم Cerberus LLC السابق للاستحواذ، لذا فهو صحيح رغم أن المنتج يُشحَن الآن تحت Redwood.

الخطوة 5: إنشاء CSR وإرساله إلى جهة إصدار الشهادات (CA) الخاصة بك

تحقق من التفاصيل مرة أخرى، ثم انقر على Create. لا يظهر أي منتقي للمجلدات في النموذج المستند إلى الويب، خلافًا لمعالج سطح المكتب القديم. يحفظ Cerberus CSR والمفتاح الخاص المطابق في مجلد الشهادات على الفور، ويُنزِّل CSR إذا طلبت ذلك.

افتح ملف CSR باستخدام أي محرر نصوص، مثل Notepad، وانسخ كل شيء، بما في ذلك السطرين الأول والأخير:

-----BEGIN CERTIFICATE REQUEST-----
(base64-encoded data)
-----END CERTIFICATE REQUEST-----

الصق هذا النص في مربع CSR في نموذج طلب مزوِّد SSL الخاص بك. عندما يسألك النموذج عن برنامج الخادم الذي تستخدمه، اختر OTHER، لأن Cerberus نادرًا ما يُدرَج باسمه. قبل الإرسال، شغِّل النص عبر أداة فك تشفير CSR الخاصة بنا للتأكد من أن Common Name ونوع المفتاح وحجمه خرجت كما أردت. اكتشاف خطأ هنا يستغرق دقيقة واحدة؛ أما اكتشافه بعد الإصدار فيعني إعادة الإصدار.

اترك المفتاح الخاص حيث وضعه Cerberus. لا يذهب أبدًا إلى جهة إصدار الشهادات (CA)، ويجب أن يبقى على الخادم، وستُوجِّه Cerberus إليه، مع كلمة المرور الخاصة به، عند وصول الشهادة الموقَّعة. احتفظ بنسخة احتياطية منه في مكان آمن أيضًا، باتباع إرشاداتنا حول تخزين المفتاح الخاص. إذا فُقِد المفتاح، تصبح الشهادة الصادرة عديمة الفائدة وعليك البدء من جديد بـ CSR جديد.

إنشاء CSR في Cerberus 13.0 وما قبله

في الإصدارات الأقدم من 13.1، تكون أداة CSR مربع حوار أصليًا وليست نموذج ويب. افتح قائمة Tools في واجهة سطح مكتب Cerberus وحدد Generate a CSR. يطلب مربع الحوار القديم، المسمى Generate a Certificate Signing Request، تفاصيل هوية مشابهة إلى حد كبير، مع فرقين يستحقان الذكر: يحتوي على حقل إضافي اختياري Street لعنوان مؤسستك، ويختار الدولة من قائمة منسدلة بدلاً من طلب رمز مكوَّن من حرفين. كما يوفر فقط Key Type وKey Length، دون إعداد لخوارزمية التوقيع. انقر على Generate ويظهر منتقي مجلدات حتى تختار المكان الذي ستُكتَب فيه ملفات المفتاح الخاص وCSR. عنصر القائمة هذا غير متوفر في وحدة تحكم الإدارة المستندة إلى المتصفح، وقد أُزيل تمامًا في الإصدار 13.1.

إذا كنت لا تزال تستخدم أحد تلك الإصدارات، فخطِّط للترقية بدلاً من العمل حول مربع الحوار القديم. انتهت سلسلة 13.x بالإصدار 13.2.1 في ديسمبر 2023، لذا لا تصدر إصلاحات الأمان الآن إلا للإصدارات ذات الترقيم التقويمي، وهذه أيضًا هي الإصدارات التي توفر مجموعة أوسع من أنواع المفاتيح ونموذج CSR يمكنك الوصول إليه عن بُعد.

الأسئلة الشائعة