Wie man einen CSR auf SonicWall generiert

Diese Anleitung zeigt Ihnen, wie Sie einen CSR (Certificate Signing Request) auf einer SonicWall-Firewall mit SonicOS erstellen. Sie erzeugen die Anfrage in der Web-Verwaltungsoberfläche unter Device > Settings > Certificates, tragen die Subjekt-Details ein, wählen einen 2048-Bit-RSA-Schlüssel (oder größer) und den SHA-256-Signaturalgorithmus, exportieren dann die Anfrage und senden sie an Ihre Zertifizierungsstelle.

Der private Schlüssel wird gleichzeitig erstellt und bleibt als ausstehende Anfrage (Pending Request) auf der Firewall: Er ist beim Export des CSR nicht enthalten. Die folgenden Schritte gelten für SonicOS 7.x; Menüpfade für SonicOS 6.5 und die älteren SMA- / SSL-VPN-Appliances sind vermerkt, sofern sie abweichen.

CSR auf SonicWall erstellen (SonicOS 7.x)

Wenn Sie Ihren CSR bereits erstellt und die signierten Zertifikatsdateien erhalten haben, springen Sie direkt zu wie man ein SSL-Zertifikat auf SonicWall installiert.

Schritt 1: Zertifikatsseite öffnen

• Melden Sie sich als Administrator in der SonicWall-Web-Verwaltungsoberfläche an.
• Gehen Sie zu Device > Settings > Certificates. Die Seite listet alle Zertifikate auf, die sich derzeit auf dem Gerät befinden.
• Klicken Sie auf New Signing Request, um das Zertifikatsdialogfeld zu öffnen.

Bei SonicOS 6.5 in der Manage-Ansicht lautet der Pfad Manage > Appliance > Certificates. Bei älteren SMA-100-Serien und SSL-VPN-Appliances lautet der Pfad System > Certificates, und die Schaltfläche heißt Generate CSR. Die Feldnamen sind im Wesentlichen über alle Versionen hinweg gleich.

Schritt 2: Zertifikatsalias und Subjekt-Details eingeben

Geben Sie im Feld Certificate Alias eine Bezeichnung ein, die Sie später auf der Firewall wiedererkennen, zum Beispiel Ihren Domainnamen plus das Jahr. Der Alias ist nur ein interner Name; er erscheint nicht im Zertifikat selbst.

Erstellen Sie den Subject Distinguished Name mithilfe der Dropdown-Menüs und Textfelder. Während Sie jedes Feld ausfüllen, setzt SonicOS den vollständigen DN im Vorschaufeld Subject Distinguished Name zusammen.

• Country: der zweistellige ISO-Ländercode, in dem Ihre Organisation registriert ist, zum Beispiel US.
• State: der vollständige Name des Bundesstaats oder der Region, zum Beispiel Hawaii. Bei einem Business-Validation- oder Extended-Validation-Zertifikat verwenden Sie den Bundesstaat, in dem Ihr Unternehmen rechtlich registriert ist.
• Locality, City, or County: der vollständige Name der Stadt, zum Beispiel Honolulu.
• Company or Organization: der vollständige rechtliche Name Ihres Unternehmens, zum Beispiel Your Company LLC. Lassen Sie dieses Feld nur leer, wenn Sie ein Domain-Validation-Zertifikat bestellen.
• Department: optional. Sie können einen Wert wie IT oder Web verwenden oder das Feld leer lassen. Öffentliche Zertifizierungsstellen überprüfen dieses Feld nicht.
• Common Name: der vollqualifizierte Domainname (FQDN), den Sie absichern möchten, zum Beispiel vpn.example.com. Für ein Wildcard-Zertifikat setzen Sie ein Sternchen vor die Domain, zum Beispiel *.example.com. Der Common Name sollte mit dem Hostnamen übereinstimmen, den Sie zum Erreichen der Firewall verwenden (Admin-Seite, SSL-VPN-Portal oder beides).
• E-Mail Address: eine gültige Kontaktadresse Ihrer Organisation.

Schritt 3: Alternativen Namen (Subject Alternative Name) hinzufügen (optional)

Wählen Sie unter Subject Alternative Name im Dropdown-Menü einen Typ (Domain Name, Email Address oder IPv4 Address) und geben Sie den Wert ein. Moderne Browser validieren Zertifikate anhand der SAN-Liste, nicht des Common Name, daher sollte der erste SAN-Eintrag mit dem Common Name übereinstimmen. SonicOS erlaubt in der Anfrage selbst nur einen SAN-Eintrag; wenn Ihr Zertifikat mehrere Hostnamen abdecken muss, geben Sie die zusätzlichen Namen beim Bestellvorgang bei der Zertifizierungsstelle an. Die meisten öffentlichen Zertifizierungsstellen akzeptieren zusätzliche SAN-Einträge, die im Bestellformular zusammen mit dem CSR angegeben werden.

Schritt 4: Signaturalgorithmus und Schlüssel auswählen

• Signature Algorithm: ändern Sie die Standardeinstellung von SHA1 auf SHA256 (oder SHA384 / SHA512). Öffentliche Zertifizierungsstellen lehnen seit 2015 mit SHA-1 signierte Zertifikate ab, daher wird ein mit SHA-1 signierter CSR nicht ausgestellt.
• Subject Key Type: behalten Sie die Standardeinstellung RSA bei. Wählen Sie ECDSA nur, wenn Ihre Zertifizierungsstelle und alle Clients, die Sie bedienen, ECDSA-Zertifikate unterstützen.
• Subject Key Size/Curve: wählen Sie mindestens 2048 Bit für RSA. Die werkseitige Standardeinstellung ist 1024, was von öffentlichen Zertifizierungsstellen abgelehnt wird; 3072 und 4096 werden ebenfalls akzeptiert. Für ECDSA ist prime256v1 eine sichere Wahl.

Schritt 5: Anfrage erstellen

Überprüfen Sie die Angaben und klicken Sie dann auf Generate. SonicOS erstellt den CSR und den zugehörigen privaten Schlüssel und fügt eine neue Zeile zur Zertifikatstabelle hinzu. Der neue Eintrag hat den Typ Pending request und bleibt in diesem Zustand, bis Sie das signierte Zertifikat importieren.

Den CSR exportieren

• Suchen Sie den neuen ausstehenden Antrag (Pending request) in der Zertifikatstabelle.
• Klicken Sie auf das Symbol Export daneben. SonicOS lädt eine einzelne .csr-Datei herunter, die nur die Anfrage enthält. Der private Schlüssel bleibt auf der Firewall.

Bei den älteren SMA-100- / SSL-VPN-Appliances verhält es sich anders: Beim Absenden des Formulars wird ein .zip-Archiv herunterladen, das server.csr und server.key enthält. Speichern Sie beide Dateien zusammen; Sie benötigen server.key später, wenn Sie das ausgestellte Zertifikat als PKCS#12-Bundle importieren. Bei SonicOS-7.x-Firewalls erhalten Sie keine Schlüsseldatei, da der Schlüssel das Gerät niemals verlässt.

Öffnen Sie die exportierte .csr-Datei mit einem einfachen Texteditor wie Notepad. Der Inhalt beginnt mit -----BEGIN CERTIFICATE REQUEST----- und endet mit -----END CERTIFICATE REQUEST-----. Kopieren Sie während der SSL-Registrierung den gesamten Block, einschließlich dieser beiden Kopf- und Fußzeilen, in das CSR-Feld auf der Bestellseite Ihres SSL-Anbieters.

Den CSR vor dem Absenden überprüfen

Bevor Sie die Bestellung aufgeben, überprüfen Sie, ob die Anfrage die richtigen Domain- und Organisationsdetails enthält. Wenn Sie auf einem beliebigen Rechner OpenSSL installiert haben, decodieren Sie die exportierte Datei mit:

openssl req -noout -text -in request.csr

Überprüfen Sie, ob der Common Name, die SAN-Einträge und die Organisationsfelder korrekt sind, ob der Signaturalgorithmus sha256 oder stärker ist und ob die Schlüsselgröße mindestens 2048 Bit beträgt. Wenn etwas nicht stimmt, erstellen Sie einen neuen CSR auf der Firewall, statt die Datei zu bearbeiten: Jede Änderung des Textes macht die Signatur ungültig. Ohne OpenSSL fügen Sie die exportierte Anfrage in unseren Online-CSR-Decoder ein, um die gleichen Felder zu bestätigen.

Wenn Sie die Anfrage lieber im Browser statt in SonicOS vorbereiten möchten, können Sie auch mit unserem CSR-Generator einen CSR erstellen. Bei einer SonicOS-7.x-Firewall bedeutet die Erstellung des CSR außerhalb des Geräts, dass Sie das ausgestellte Zertifikat später als PKCS#12-Bundle importieren, das sowohl das Zertifikat als auch den zugehörigen Schlüssel enthält, anstatt die Pending-Request-Bearbeitung direkt auf dem Gerät abzuschließen.

Nachdem die Zertifizierungsstelle Ihr Zertifikat ausgestellt hat

Sobald die Zertifizierungsstelle den CSR validiert und Ihr SSL-Zertifikat ausgestellt hat, kehren Sie zu Device > Settings > Certificates zurück, suchen Sie denselben ausstehenden Antrag und klicken Sie auf das Symbol Upload daneben, um die signierte Datei anzuhängen. Erstellen Sie keinen neuen Eintrag: SonicOS verknüpft das ausgestellte Zertifikat nur dann mit dem passenden privaten Schlüssel, wenn Sie es auf denselben ausstehenden Eintrag hochladen. Zulässige Formate sind PEM (.pem, .cer) und PKCS#7 (.p7b). Das vollständige Verfahren, einschließlich der Zuweisung des Zertifikats zur Admin-Seite und zum SSL-VPN-Portal, finden Sie in unserer Anleitung zu wie man ein SSL-Zertifikat auf SonicWall installiert.

Häufig gestellte Fragen