Wie man einen CSR auf Kemp LoadMaster generiert

Diese Anleitung zeigt Ihnen wie Sie eine CSR (Certificate Signing Request) auf einem Kemp LoadMaster erstellen. Sie erstellen die Anfrage im LoadMaster WUI unter Certificates & Security > Generate CSR, benennen den privaten Schlüssel, tragen Ihre Organisationsdaten ein und kopieren anschließend den CSR-Text, um ihn an Ihre Zertifizierungsstelle zu senden. Der private Schlüssel wird gleichzeitig erzeugt und verbleibt auf dem LoadMaster, verknüpft mit dem von Ihnen gewählten Namen. Daher muss das signierte Zertifikat wieder in dasselbe Gerät importiert werden, damit es passt.

Hinweis: Kemp wurde im November 2021 von Progress Software übernommen, und das Produkt trägt offiziell die Bezeichnung Progress Kemp LoadMaster. Die Firmware auf dem Gerät heißt LMOS (LoadMaster Operating System), aktuelle Builds befinden sich im 7.2.x-Zweig. Der Name „Kemp LoadMaster“ wird von Administratoren und in der Dokumentation von Drittanbietern nach wie vor häufig verwendet, daher werden in dieser Anleitung beide Bezeichnungen synonym benutzt.

CSR auf Kemp LoadMaster erstellen

Wenn Sie Ihre CSR bereits erstellt und die signierten Dateien von der CA erhalten haben, überspringen Sie diesen Abschnitt und gehen Sie direkt zu wie man ein SSL-Zertifikat auf Kemp LoadMaster installiert. Andernfalls folgen Sie den unten stehenden Schritten. Die Menüpfade und Feldbezeichnungen entsprechen den aktuellen LMOS 7.2.x-Builds.

Schritt 1: Öffnen Sie den Bildschirm Generate CSR

• Melden Sie sich bei der Web User Interface (WUI) Ihres LoadMaster mit einem Konto an, das über Zertifikatsverwaltungsrechte verfügt, zum Beispiel dem integrierten Administrator bal.
• Erweitern Sie im Hauptmenü Certificates & Security und öffnen Sie Generate CSR. Das Formular Generate Certificate Signing Request wird geöffnet.
• Geben Sie im Feld Private Key Identifier einen aussagekräftigen Namen für den Schlüssel ein, zum Beispiel yourdomain-2026. Anhand dieser Bezeichnung ordnet der LoadMaster den privaten Schlüssel dem künftigen signierten Zertifikat zu, wählen Sie also etwas, das Sie später wiedererkennen.

Schritt 2: Formular ausfüllen

Füllen Sie jedes Feld aus. Öffentliche Zertifizierungsstellen verlangen für Organization Validated (OV)- und Extended Validation (EV)-Produkte alle Angaben zu Standort und Organisation; auch Domain Validated (DV)-Zertifikate verwenden diese Angaben, auch wenn einige davon nicht im ausgestellten Zertifikat abgedruckt werden.

• 2 Letter Country Code: der ISO 3166-1 alpha-2 Code für das Land, in dem Ihre Organisation registriert ist, zum Beispiel US für die Vereinigten Staaten oder DE für Deutschland. Sehen Sie sich bei Unsicherheit die vollständige Liste der Ländercodes an.
• State/Province (Entire Name – New York, not NY): der vollständige Name des Bundesstaates, der Provinz oder Region, zum Beispiel Arizona, nicht die Abkürzung.
• City: der vollständige Name der Stadt, in der Ihre Organisation offiziell ansässig ist, zum Beispiel Phoenix.
• Company: der vollständige rechtliche Name des Unternehmens, dem die Domain gehört, genau wie er in Ihrer Gewerberegistrierung erscheint, zum Beispiel Your Company LLC. CAs lehnen Abweichungen zwischen diesem Feld und dem verifizierten Firmennamen bei OV- und EV-Zertifikaten ab.
• Organization: dieses Feld steht für die Organisationseinheit (Abteilung), zum Beispiel IT oder Marketing. Öffentliche CAs führen das OU-Feld nicht mehr in ausgestellten Zertifikaten auf, lassen Sie es also leer oder geben Sie einen allgemeinen Abteilungsnamen ein.
• Common Name: der vollständig qualifizierte Domainname (FQDN), den Sie absichern möchten, zum Beispiel www.yourdomain.com. Für ein Wildcard-Zertifikat setzen Sie ein Sternchen vor die Domain, zum Beispiel *.yourdomain.com.
• Email Address: eine administrative Kontakt-E-Mail-Adresse Ihrer Organisation. Manche CAs nutzen sie für die Validierungskorrespondenz; andernfalls dient sie nur zu Informationszwecken.
• SAN/UCC Names: listen Sie jeden zusätzlichen Hostnamen auf, den das Zertifikat abdecken muss, getrennt durch Leerzeichen oder Kommas, zum Beispiel yourdomain.com mail.yourdomain.com. Öffentliche CAs validieren und stellen Zertifikate anhand der SAN-Liste aus statt anhand des Common Name, wiederholen Sie also auch hier den Wert des Common Name.
• Generate Elliptical Curve Request: aktivieren Sie dieses Kästchen nur, wenn Sie einen ECDSA-Schlüssel (P-256) wünschen und Ihre CA sowie die Clients diesen unterstützen. Lassen Sie es für den Standard-RSA-2048-Bit-Schlüssel deaktiviert, der die breiteste Kompatibilität bietet.

LoadMaster signiert die Anfrage standardmäßig mit SHA-256, was die Mindestanforderungen jeder aktuellen öffentlichen CA an den Hash-Algorithmus erfüllt.

Schritt 3: CSR erstellen

Überprüfen Sie jedes Feld noch einmal, insbesondere den Common Name und die SAN-Liste, und klicken Sie dann auf Create CSR. Der LoadMaster erzeugt das Schlüsselpaar auf dem Gerät und zeigt den CSR-Text auf dem Bildschirm an, zwischen den Markierungen —–BEGIN CERTIFICATE REQUEST—– und —–END CERTIFICATE REQUEST—–. Der private Schlüssel verbleibt auf dem LoadMaster und ist über den in Schritt 1 gewählten Private Key Identifier zugeordnet.

CSR kopieren und einreichen

Der vom LoadMaster angezeigte Text sieht folgendermaßen aus:

-----BEGIN CERTIFICATE REQUEST-----
MIIC...your encoded request...AB==
-----END CERTIFICATE REQUEST-----

Markieren Sie den gesamten Block, einschließlich der Zeilen —–BEGIN CERTIFICATE REQUEST—– und —–END CERTIFICATE REQUEST—– sowie jedes Zeichen dazwischen. Jede Markierung verwendet fünf Bindestriche auf jeder Seite, ohne Leerzeichen. Kopieren Sie den Block und fügen Sie ihn in das CSR-Feld auf der Bestellseite Ihres SSL-Anbieters ein. Wenn Sie eine lokale Kopie behalten möchten, fügen Sie denselben Text in einen einfachen Texteditor ein (Notepad, TextEdit im Klartextmodus oder einen beliebigen Code-Editor) und speichern Sie ihn als .csr– oder .txt-Datei.

Löschen Sie nicht den zugehörigen Eintrag unter SSL Certificates, während Sie auf das signierte Zertifikat warten. Der LoadMaster benötigt den gespeicherten privaten Schlüssel, um ihn beim Import mit dem ausgestellten Zertifikat zu verknüpfen.

CSR vor dem Einreichen prüfen

Es lohnt sich, vor der Bestellung zu überprüfen, ob die Anfrage die richtigen Domain- und Organisationsangaben enthält. Fügen Sie den CSR-Text in unseren Online-CSR-Decoder ein, um den Common Name, die SAN-Einträge, die Schlüsselgröße, den Signaturalgorithmus und die Organisationsangaben zu sehen, die der LoadMaster in die Anfrage geschrieben hat. Falls etwas nicht stimmt, erstellen Sie eine neue CSR auf dem LoadMaster, anstatt die Datei zu bearbeiten: Jede Änderung am Text macht die Signatur ungültig.

Wenn Sie die Anfrage lieber im Browser vorbereiten möchten, können Sie auch unseren Online-CSR-Generator verwenden. Beachten Sie, dass der Generator den privaten Schlüssel in Ihrem Browser erzeugt. Speichern Sie den Schlüssel daher selbst und kombinieren Sie ihn mit dem ausgestellten Zertifikat zu einer .pfx-Datei, bevor Sie ihn in den LoadMaster importieren (der LoadMaster akzeptiert PEM und PFX).

Nachdem die CA Ihr Zertifikat ausgestellt hat

Sobald die CA die Anfrage validiert hat, sendet sie Ihnen per E-Mail das signierte Zertifikat und dessen Zwischenzertifikatskette (CA-Kette), meist in einem ZIP-Archiv. Laden Sie das Archiv herunter, entpacken Sie es auf Ihrem Computer und kehren Sie dann zur LoadMaster WUI zurück:

• Öffnen Sie Certificates & Security > SSL Certificates und verwenden Sie Import Certificate, um das signierte Zertifikat hochzuladen. Geben Sie denselben Certificate Identifier ein, den Sie als Private Key Identifier bei der Erstellung der CSR verwendet haben. Der LoadMaster verknüpft das importierte Zertifikat anhand dieses Namens mit dem gespeicherten privaten Schlüssel, sodass keine separate Schlüsseldatei erforderlich ist.
• Fügen Sie das Zwischenzertifikat (CA-Bundle) unter Certificates & Security > Intermediate Certs hinzu, damit der LoadMaster die vollständige Kette bereitstellen kann. Wenn die CA eine einzelne .pfx-Datei zurückgegeben hat, die die Kette bereits enthält, können Sie diese direkt importieren und den separaten Zwischenschritt überspringen.
• Weisen Sie das Zertifikat im Abschnitt Assignment des Zertifikats Ihrem Virtual Service zu: Verschieben Sie den Dienst mit der Schaltfläche mit dem Pfeil nach rechts von Available VSs in das Zuweisungsfeld und klicken Sie dann auf Save Changes. Ein Zertifikat, das importiert, aber nicht zugewiesen ist, wird auf dem LoadMaster gespeichert, bedient jedoch keinen Datenverkehr – dies ist der häufigste Grund, warum ein frisch installiertes Zertifikat scheinbar keine Wirkung zeigt.

Das vollständige Verfahren, einschließlich der SSL-Beschleunigung (SSL Acceleration) am Virtual Service, finden Sie in unserer Anleitung wie man ein SSL-Zertifikat auf Kemp LoadMaster installiert.