Installation eines SSL-Zertifikats auf Checkpoint VPN

Dieses Tutorial zeigt Ihnen, wie Sie ein SSL-Zertifikat auf einem Check Point VPN-Gateway installieren und wie Sie den dafür benötigten CSR (Certificate Signing Request) erstellen.

Check Point funktioniert etwas anders als die meisten Appliances: Das Zertifikat wird an das Security Gateway-Objekt gebunden und über den Management-Client angewendet, und die ausstellende CA-Kette muss vertrauenswürdig sein, bevor das Serverzertifikat validiert werden kann.

Check Point hat sein Management-Tooling im Laufe der Jahre verändert. Bei R80, R81.10, R81.20 und R82 (den heute produktiv unterstützten Versionen) verwalten Sie alles über die SmartConsole. Bei älteren Implementierungen mit R77.x und früher nutzen Sie den eigenständigen SmartDashboard-Client. Dieser Leitfaden beginnt mit dem aktuellen SmartConsole-Workflow und listet die veralteten SmartDashboard-Schritte am Ende für ältere Gateways auf.

Vor den eigentlichen Schritten noch zwei kurze Definitionen. Ein Root-Zertifikat wird von einer vertrauenswürdigen Zertifizierungsstelle (CA) ausgestellt und steht an der Spitze der Vertrauenskette; es ist im vertrauenswürdigen Root-Speicher des Browsers hinterlegt. Ein Zwischenzertifikat wird von diesem Root signiert und ist das Zertifikat, das tatsächlich Ihr End-Entity-Zertifikat (Serverzertifikat) ausstellt. Das Zwischenzertifikat fügt eine zusätzliche Sicherheitsebene hinzu, da die tägliche Signierung nie direkt vom Root aus erfolgt. Check Point benötigt beide, um die vollständige Kette aufzubauen und zu validieren.

Schritt 1: Root- und Zwischenzertifikate beschaffen

Bei den meisten Plattformen erstellen Sie zuerst den CSR und erhalten anschließend alle Dateien, nachdem die CA Ihre Anfrage validiert hat. Check Point ist flexibler: Sie können der CA-Kette zuerst vertrauen, was die Installation des endgültigen Serverzertifikats vereinfacht. Fragen Sie Ihren SSL-Anbieter oder Ihre CA nach den Root– und Zwischen-CA-Zertifikaten im Format X.509 / PEM (Base64). Es handelt sich dabei um öffentliche Zertifikate, sodass jede CA sie auf Anfrage bereitstellen kann; sie werden auch im Repository der CA veröffentlicht.

Ein PEM-Zertifikat ist ein reiner Textblock, der mit —–BEGIN CERTIFICATE—– beginnt und mit —–END CERTIFICATE—– endet. Speichern Sie jedes Zertifikat in einer eigenen Textdatei mit der Endung .crt. Sie können die Dateien in einem beliebigen Texteditor wie Notepad erstellen. Verwenden Sie keine Textverarbeitung, da diese unsichtbare Formatierungen hinzufügen kann, die die Datei beschädigen.

Hinweis: Manche CAs verwenden zwei Zwischenzertifikate für eine breitere Kompatibilität. Speichern Sie jedes davon als separate .crt-Datei und fügen Sie sie einzeln hinzu.

Schritt 2: Root- und Zwischenzertifikaten vertrauen

Bei den aktuellen SmartConsole-basierten Versionen müssen Sie die Kette nicht über einen separaten Dialog importieren, wie es beim alten SmartDashboard erforderlich war. Stattdessen bündeln Sie die vollständige Kette später in Schritt 4 zusammen mit dem Serverzertifikat, sodass das Gateway das Zertifikat und seine Aussteller in einer einzigen Datei erhält. Halten Sie die .crt-Dateien aus Schritt 1 bereit. Sie benötigen diese, um das Bundle zusammenzustellen.

Wenn Sie diese Zertifikate auch anderswo verwenden (zum Beispiel zur Validierung von Drittanbieter-Peers in einem Site-to-Site-VPN), können Sie sie in SmartConsole unter Security Policies > Access Tools > Trusted CAs als vertrauenswürdige CAs hinzufügen und anschließend Install Policy ausführen. Für das hier behandelte Mobile Access / VPN-Portal-Zertifikat ist das Bündeln der Kette in Schritt 4 die unterstützte Vorgehensweise.

Betreiben Sie ein veraltetes R77.x-Gateway mit dem eigenständigen SmartDashboard-Client? Nutzen Sie das Legacy-SmartDashboard-Verfahren am Ende dieses Tutorials, bei dem die Root- und Zwischen-CAs explizit unter Servers > Trusted CAs importiert werden.

Schritt 3: CSR auf Check Point erstellen

Auf R80 und neueren Versionen erstellt Check Point den CSR und den privaten Schlüssel des Portal-Serverzertifikats über die Befehlszeile am Gateway, mithilfe des integrierten OpenSSL-Wrappers. Verbinden Sie sich per SSH mit dem Gateway, wechseln Sie in den Expert-Modus und führen Sie Folgendes aus, wobei Sie die Dateinamen durch Ihre eigenen ersetzen:

cpopenssl req -new -out /home/admin/yourwebsite.csr -keyout /home/admin/yourwebsite.key -config $CPDIR/conf/openssl.cnf

OpenSSL fragt Sie nach einem Passwort zum Schutz des privaten Schlüssels und anschließend nach den Subjektfeldern des Zertifikats. Füllen Sie diese sorgfältig aus. Der Common Name muss der vollqualifizierte Domainname (FQDN) sein, den Nutzer eingeben, um das VPN/Portal zu erreichen:

• Common Name (CN), der FQDN, den Sie sichern möchten, zum Beispiel vpn.yourwebsite.com. Für ein Wildcard-Zertifikat setzen Sie ein Sternchen vor die Domain, zum Beispiel *.yourwebsite.com.
• Organizational Unit (OU), die Abteilung, die das Zertifikat beantragt, zum Beispiel IT oder Web Administration.
• Organization (O), der vollständige rechtliche Name Ihres Unternehmens, zum Beispiel GPI Holding LLC.
• Locality (L), der vollständige Name der Stadt, in der Ihr Unternehmen registriert ist, zum Beispiel San Jose.
• State (ST), der vollständige Name des Bundesstaats oder der Region, zum Beispiel California.
• Country (C), der zweistellige Ländercode, zum Beispiel US. Die vollständige Liste der Ländercodes finden Sie online.

Die resultierende CSR-Datei enthält Ihre Angaben in einer einzigen Subjekt-(DN)-Zeichenfolge, die wie folgt aussieht:

CN=vpn.yourwebsite.com, OU=IT, O=Your Company Name, L=City, ST=State, C=Country

Öffnen Sie die .csr-Datei in einem Texteditor und kopieren Sie deren vollständigen Inhalt, einschließlich der Zeilen —–BEGIN CERTIFICATE REQUEST—– und —–END CERTIFICATE REQUEST—–. Diesen CSR reichen Sie bei Ihrer SSL-Bestellung ein. Bewahren Sie die dazugehörige .key-Datei mit dem privaten Schlüssel sicher auf dem Gateway auf. Sie dürfen sie nicht verlieren und sollten sie niemals weitergeben.

Tipp: Wenn Sie die Befehlszeile lieber nicht verwenden möchten, können Sie den CSR mit unserem kostenlosen CSR-Generator erstellen und den dabei generierten privaten Schlüssel aufbewahren. In beiden Fällen ist der CSR das, was Ihre CA benötigt, um das Zertifikat auszustellen.

Schritt 4: SSL-Zertifikat auf Check Point VPN installieren

Nach Abschluss der Validierung sendet Ihnen Ihre CA das ausgestellte Serverzertifikat per E-Mail, meist in einem ZIP-Archiv zusammen mit der Kette. Um es über SmartConsole zu importieren, benötigen Sie alles in einer einzigen .p12-Datei (PKCS#12): das Serverzertifikat, dessen privaten Schlüssel sowie die Zwischen- und Root-Zertifikate. Wenn Sie die Teile als separate Dateien vorliegen haben, kombinieren Sie sie mit dem OpenSSL des Gateways, indem Sie im Expert-Modus Folgendes ausführen:

cpopenssl pkcs12 -export -out /home/admin/yourwebsite.p12 -inkey /home/admin/yourwebsite.key -in /home/admin/yourwebsite.crt -certfile /home/admin/chain.crt

Hier ist yourwebsite.crt Ihr Serverzertifikat, yourwebsite.key der private Schlüssel aus Schritt 3, und chain.crt sind die Zwischen- und Root-Zertifikate, zu einer Datei zusammengefügt (zuerst das Zwischenzertifikat, dann das Root). OpenSSL fordert Sie auf, ein Export-Passwort festzulegen; dieses geben Sie beim Import erneut ein. Sobald die .p12-Datei fertig ist, installieren Sie sie:

1. Öffnen Sie SmartConsole und gehen Sie im linken Navigationsbereich zu Gateways & Servers.
2. Doppelklicken Sie auf Ihr Security Gateway– (oder Cluster-)Objekt, um es zu bearbeiten.
3. Öffnen Sie im linken Bereich die Blade, die Ihr Portal bereitstellt: Mobile Access > Portal Settings für das Mobile Access VPN-Portal, oder Platform Portal für das Gaia-Management-Portal.
4. Klicken Sie im Abschnitt Certificate auf Import or Replace.
5. Navigieren Sie zu Ihrer .p12-Datei, geben Sie das festgelegte Export-Passwort ein und bestätigen Sie. SmartConsole liest das Zertifikat, den Schlüssel und die Kette aus der Datei aus.
6. Klicken Sie auf OK, um das Gateway-Objekt zu schließen.
7. Klicken Sie auf Install Policy und übertragen Sie die Richtlinie an das Gateway, damit das neue Zertifikat wirksam wird.

Herzlichen Glückwunsch, Sie haben ein SSL-Zertifikat auf Ihrem Check Point VPN installiert. Nach der Installation der Richtlinie präsentiert das Gateway das neue Zertifikat auf der Portal-URL.

Legacy-Methode: SmartDashboard (R77.x und älter)

Wenn Sie noch ein älteres Gateway betreiben, das über den eigenständigen SmartDashboard-Client verwaltet wird, wird das Zertifikat vollständig in der grafischen Oberfläche erstellt und installiert. Importieren Sie zunächst die CA-Kette:

1. Melden Sie sich bei SmartDashboard an. Gehen Sie auf der Registerkarte Servers and OPSEC Applications zu Servers > Trusted CAs, klicken Sie mit der rechten Maustaste und wählen Sie New CA > Trusted.
2. Geben Sie auf der Registerkarte General des Fensters Certificate Authority Properties einen Name und optional einen Comment ein und fahren Sie fort.
3. Aktivieren Sie auf der Registerkarte OPSEC PKI unter Retrieve CRL from ausschließlich HTTP Server(s).
4. Klicken Sie unter Certificate neben Get the CA certificate from a file auf Get, navigieren Sie zu Ihrer root.crt-Datei und klicken Sie auf OK.
5. Wiederholen Sie die vorherigen Schritte für Ihre intermediate.crt-Datei. Öffnen Sie anschließend Servers > Trusted CAs und bestätigen Sie, dass beide CAs aufgeführt sind.

Erstellen Sie anschließend den CSR und installieren Sie das Zertifikat:

1. Erweitern Sie Network Objects, klicken Sie mit der rechten Maustaste auf Ihr Check Point Gateway/Cluster und wählen Sie Edit.
2. Wählen Sie in Gateway Cluster Properties im linken Bereich VPN und klicken Sie auf Add.
3. Geben Sie einen Certificate Nickname ein und wählen Sie im Dropdown-Menü CA to enroll from die oben importierte Zwischen-CA aus. Klicken Sie auf Generate und anschließend auf Yes.
4. Geben Sie im Feld DN des Fensters Generate Certificate Request Ihre Angaben als eine durch Kommas getrennte Zeichenfolge ein, zum Beispiel CN=vpn.yourwebsite.com, OU=IT, O=Your Company Name, L=City, ST=State, C=Country, und klicken Sie auf OK.
5. Klicken Sie unter VPN auf View, um den CSR anzuzeigen, und dann auf Save to File, um ihn zu exportieren. Reichen Sie diesen CSR bei Ihrer CA ein.
6. Wenn das signierte Zertifikat eintrifft, bearbeiten Sie das Gateway erneut, wählen Sie VPN, wählen Sie denselben Nickname und klicken Sie auf Complete. Navigieren Sie zu Ihrem Serverzertifikat, klicken Sie auf Open, überprüfen Sie die Details und klicken Sie auf OK. Installieren Sie anschließend die Richtlinie.

Unabhängig davon, welche Methode Sie verwenden, planen Sie vorausschauend: Der ältere SmartDashboard-Client von Check Point ist auf aktuellen Versionen nicht mehr verfügbar. Wenn Sie also noch R77.x nutzen, sollten Sie ein Upgrade auf eine unterstützte Version als Teil des Zertifikats-Lebenszyklus einplanen.

Testen Sie Ihre SSL-Installation

Selbst nach einer saubersen Installation können Konfigurationslücken wie ein fehlendes Zwischenzertifikat oder ein schwaches Protokoll bestehen bleiben. Führen Sie eine kurze Diagnose durch, um sicherzustellen, dass das Gateway die vollständige Kette und eine moderne TLS-Konfiguration bereitstellt. Die schnellste Überprüfung erfolgt durch Öffnen der VPN-/Portal-URL in einem Browser und Inspizieren des Schlosssymbols, aber ein spezialisierter Scanner ist gründlicher.

Nutzen Sie unseren kostenlosen SSL Checker, um einen sofortigen Bericht über Ihr Zertifikat, die Kette und die unterstützten Protokolle zu erhalten. Wenn Sie OpenSSL auf Ihrem eigenen Rechner installiert haben, können Sie das Gateway auch direkt abfragen. Setzen Sie dabei Ihren Portal-Host und -Port ein (das Mobile Access-Portal lauscht üblicherweise auf 443):

echo | openssl s_client -connect vpn.yourwebsite.com:443 -servername vpn.yourwebsite.com 2>/dev/null | openssl x509 -noout -issuer -subject -dates

Wenn das Zertifikat aktiv ist, wird dessen Aussteller, Subjekt und Gültigkeitsdatum angezeigt. Eine vollständige Kette und ein übereinstimmender FQDN bedeuten, dass Ihre Installation einwandfrei funktioniert.

Wo kauft man das beste SSL-Zertifikat für Check Point VPN?

Beim Kauf eines SSL-Zertifikats sollten Sie drei Dinge abwägen: Validierungstyp, Preis und Support. Bei SSL Dragon bieten wir die gesamte Palette an SSL-Zertifikaten zu wettbewerbsfähigen Preisen an, unterstützt durch erstklassigen Kundenservice. Unsere Zertifikate werden von renommierten Zertifizierungsstellen signiert und sind daher mit den meisten VPN-Appliances kompatibel, einschließlich Check Point. Ob Sie ein preisgünstiges Domain-Validation-Zertifikat oder ein hochwertiges Extended-Validation-Produkt benötigen, wir haben das Richtige für Sie.

Die Preise von SSL Dragon gehören zu den wettbewerbsfähigsten auf dem Markt, und unser engagiertes Support-Team wird von unseren bestehenden Kunden sehr geschätzt.

Sie sind sich nicht sicher, welches Zertifikat Sie wählen sollen? Nutzen Sie unser SSL-Assistent-Tool, um das ideale Produkt für Ihre Check Point-Implementierung zu finden.

Häufig gestellte Fragen