كيفية إنشاء CSR على FortiGate

يوضح لك هذا الدليل كيفية إنشاء CSR (طلب توقيع الشهادة) على جدار حماية Fortinet FortiGate الذي يعمل بنظام FortiOS.

تقوم بإنشاء الطلب من واجهة الويب ضمن System > Certificates > Create/Import > Generate CSR، ثم تُدخل بيانات مؤسستك، وبعد ذلك تُنزّل ملف CSR لإرساله إلى الجهة المصدرة للشهادات (CA).

يتم إنشاء المفتاح الخاص في الوقت نفسه ويبقى محفوظاً على جهاز FortiGate: فهو لا يُصدَّر مع ملف CSR، لذا يجب استيراد الشهادة الموقّعة مجدداً إلى الجهاز نفسه.

إنشاء CSR على FortiGate

إذا كنت قد أنشأت CSR من قبل وحصلت على الملفات الموقّعة من الجهة المصدّرة للشهادات، فتجاوز هذا القسم وانتقل مباشرة إلى كيفية تثبيت شهادة SSL على FortiGate. وإلا، اتبع الخطوات أدناه. الشاشات المعروضة تطابق FortiOS 7.4 و7.6؛ الإصدارات الأقدم 7.0 و6.x تتبع المسار نفسه بتسميات مختلفة قليلاً.

الخطوة 1: إظهار قائمة Certificates (إذا لزم الأمر)

في العديد من طرازات FortiGate، تكون شاشات إدارة الشهادات مخفية افتراضياً. إذا لم تجد System > Certificates في قائمة التنقل اليسرى، سجّل الدخول إلى واجهة الويب لجهاز FortiGate، وانتقل إلى System > Feature Visibility، وفعّل خيار Certificates ضمن الميزات الإضافية، ثم انقر على Apply. سيظهر عنصر Certificates الآن ضمن System.

الخطوة 2: فتح نافذة Generate CSR

• سجّل الدخول إلى واجهة الويب لجهاز FortiGate (لوحة الإدارة).
• انتقل إلى System > Certificates.
• انقر على Create/Import في أعلى الصفحة، ثم اختر Generate CSR. تفتح نافذة Generate Certificate Signing Request.

الخطوة 3: تعبئة الطلب

أكمل النموذج. حقول Optional Information مطلوبة من قِبل جميع الجهات المصدّرة للشهادات العامة، وإن كان FortiOS يصنّفها على أنها اختيارية.

• Certificate Name: اسم وصفي يحدد هوية هذا CSR ومفتاحه الخاص على جهاز FortiGate، مثل yourdomain.com 2026. هذا مجرد تسمية داخلية فقط، ولا يلزم أن تطابق النطاق.
• Subject Information > ID Type: اختر Domain Name. الخيارات الأخرى (Host IP، E-Mail) لا تُستخدم لشهادة SSL عامة قياسية.
• Domain Name: اسم النطاق المؤهل بالكامل (FQDN) الذي تريد تأمينه، مثل www.yourdomain.com. بالنسبة لشهادة النطاق الشامل (Wildcard)، ضع علامة النجمة قبل النطاق الأساسي، مثل *.yourdomain.com. تصبح هذه القيمة هي الاسم الشائع (Common Name) للشهادة.
• Subject Alternative Name: أدرج كل اسم مضيف يجب أن تغطيه الشهادة. يتوقع FortiOS أن يُكتب كل إدخال مع بادئة نوعه، وأن تُفصل الإدخالات بفواصل، مثل DNS:www.yourdomain.com, DNS:yourdomain.com. كرّر قيمة Domain Name من الحقل السابق كأول إدخال في SAN، لأن الجهات المصدّرة للشهادات العامة تتحقق من الشهادات وتعرضها بناءً على قائمة SAN، لا على الاسم الشائع.
• Optional Information > Organization: الاسم القانوني الكامل لشركتك، مثل Your Company LLC. اتركه فارغاً فقط في حال شهادة التحقق من النطاق (DV)؛ أما شهادات التحقق من المؤسسة (OV) والتحقق الموسع (EV) فتتطلب اسماً قانونياً مسجّلاً.
• Organization Unit: اتركه فارغاً. الجهات المصدّرة للشهادات العامة لم تعد تُضمّن هذا الحقل في الشهادات الصادرة، ومعظمها يتجاهله.
• Locality (City): الاسم الكامل للمدينة التي سُجّلت فيها مؤسستك، مثل Honolulu.
• State / Province: الاسم الكامل للولاية أو المنطقة، مثل Hawaii. لا تستخدم اختصارات.
• Country / Region: اختر بلدك من القائمة المنسدلة. يكتب FortiOS رمز ISO المكون من حرفين إلى الطلب.
• E-Mail: عنوان بريد إلكتروني للتواصل مع مؤسستك. تستخدمه بعض الجهات المصدّرة للشهادات في مراسلات التحقق.
• Key Type: RSA للحصول على أوسع توافق ممكن، أو Elliptic Curve إذا كانت الجهة المصدّرة للشهادات والعملاء يدعمون ECDSA.
• Key Size: يُعد 2048 Bit الحد الأدنى الذي تقبله الجهات المصدّرة للشهادات العامة لمفاتيح RSA؛ ويمكنك اختيار 3072 Bit أو 4096 Bit لمفتاح أكبر. أما لمفتاح Elliptic Curve، فاختر secp256r1 أو أقوى.
• Enrollment Method: اختر File Based. استخدم Online SCEP أو Online EST فقط إذا كانت مؤسستك تشغّل خدمة تسجيل تلقائية تتطلب ذلك.

الخطوة 4: إنشاء الطلب

تحقّق من كل حقل، ثم انقر على OK. يُنشئ FortiOS ملف CSR والمفتاح الخاص المطابق له على الجهاز. يظهر الإدخال الجديد في قائمة الشهادات بحالة PENDING، وهذا يؤكد أن المفتاح في انتظار شهادة موقّعة من الجهة المصدّرة للشهادات.

تنزيل ملف CSR

• لا تزال ضمن System > Certificates، افتح عرض Local Certificates.
• حدد الإدخال المعلّق (Pending) الذي أنشأته للتو.
• انقر على Download في شريط الأدوات وحفظ ملف .csr على جهاز الكمبيوتر.

افتح الملف باستخدام محرر نصوص عادي مثل Notepad. يبدو المحتوى كما يلي:

-----BEGIN CERTIFICATE REQUEST-----
MIIC...your encoded request...AB==
-----END CERTIFICATE REQUEST-----

انسخ الكتلة بأكملها، بما في ذلك السطرين —–BEGIN CERTIFICATE REQUEST—– و—–END CERTIFICATE REQUEST—– وكل ما بينهما. يستخدم كل علامة خمس شرطات على كل جانب، دون مسافات أو رموز إضافية. الصق الكتلة بأكملها في خانة CSR في صفحة الطلب لدى مزوّد SSL الخاص بك.

لا تحذف الإدخال المعلّق (Pending) أثناء انتظارك الشهادة الموقّعة. يحتاج FortiGate إلى ذلك الإدخال لمطابقة الشهادة الصادرة بمفتاحها الخاص عند استيرادها لاحقاً.

تحقّق من CSR قبل إرساله

يُفضّل التأكد من أن الطلب يحتوي على بيانات النطاق والمؤسسة الصحيحة قبل إتمام الطلب. الصق محتوى الملف في أداتنا الإلكترونية CSR decoder لمعاينة الاسم الشائع (Common Name) وإدخالات SAN وحجم المفتاح وحقول المؤسسة التي كتبها FortiGate في الطلب. إذا وجدت أي خطأ، أنشئ ملف CSR جديداً على FortiGate بدلاً من تعديل الملف: فأي تغيير على النص يُبطل التوقيع.

إذا كنت تفضّل تحضير الطلب من خلال المتصفح، يمكنك كذلك إنشاء واحد باستخدام أداتنا الإلكترونية CSR Generator. لاحظ أن هذه الأداة تُنشئ المفتاح الخاص داخل متصفحك، لذا احفظ ذلك المفتاح بنفسك ودمجه مع الشهادة الصادرة في ملف .p12 قبل استيراده إلى FortiGate.

بعد إصدار الجهة المصدّرة للشهادات لشهادتك

بعد أن تتحقق الجهة المصدّرة للشهادات من CSR، ترسل إليك عبر البريد الإلكتروني الشهادة الموقّعة وسلسلة الشهادة الوسيطة (CA)، وذلك عادةً في أرشيف ZIP. نزّل الأرشيف واستخرج محتوياته على جهاز الكمبيوتر. عد إلى System > Certificates، وحدد نفس الإدخال المعلّق (Pending)، واستخدم Import لتحميل الشهادة الموقّعة. استيراد الشهادة إلى الإدخال المعلّق الموجود يحافظ على ربط المفتاح، فتتغير الحالة من PENDING إلى OK. الإجراء الكامل موجود في دليلنا كيفية تثبيت شهادة SSL على FortiGate.