So installieren Sie ein SSL-Zertifikat auf NetScaler

Dieses Tutorial zeigt Ihnen Schritt für Schritt, wie Sie ein SSL-Zertifikat auf NetScaler installieren: das Zertifikat installieren, das Zwischenzertifikat (CA-Bundle) installieren und verknüpfen und das Zertifikat an Ihren SSL-Virtual-Server binden.

Hinweis zum Namen: Das Produkt hieß ursprünglich NetScaler, wurde 2018 in Citrix ADC umbenannt und 2022 unter Cloud Software Group wieder in NetScaler zurückbenannt. In älteren Builds und Menüs sehen Sie möglicherweise noch „Citrix ADC“, aber die untenstehenden Schritte sind für beide identisch.

Wie man einen CSR-Code in NetScaler generiert

Der CSR (Certificate Signing Request) ist ein Block codierten Textes, der Ihre Kontaktdaten enthält. Sie übermitteln ihn im Rahmen der SSL-Validierung an Ihre Zertifizierungsstelle (CA). Sie haben zwei Möglichkeiten:

• Nutzen Sie unseren CSR-Generator, um den CSR automatisch zu erstellen.
• Folgen Sie unserem Schritt-für-Schritt-Tutorial wie man einen CSR in NetScaler generiert.

Kopieren Sie den vollständigen Inhalt Ihrer CSR-Datei, einschließlich der Zeilen —–BEGIN CERTIFICATE REQUEST—– und —–END CERTIFICATE REQUEST—–, und fügen Sie ihn in Ihr SSL-Zertifikat-Bestellformular ein. Warten Sie, bis die CA Ihr Zertifikat validiert und ausstellt. Sobald die SSL-Dateien in Ihrem Posteingang eintreffen, fahren Sie mit der Installation fort.

Wie man ein SSL-Zertifikat auf NetScaler installiert

Um SSL auf NetScaler zu aktivieren, installieren Sie zunächst das Zertifikat und dessen Zwischenzertifikat, verknüpfen sie und binden dann das Zertifikat an Ihren Virtual Server. Arbeiten Sie die Schritte in der angegebenen Reihenfolge ab.

Schritt 1: Bereiten Sie Ihre SSL-Zertifikatsdateien vor

Laden Sie das ZIP-Archiv herunter, das Ihnen Ihre CA zugesendet hat, und entpacken Sie es. Sie sollten Folgendes haben:

• yourdomain.crt, Ihr primäres (End-Entity-)SSL-Zertifikat.
• yourdomain.ca-bundle, die Zwischenzertifikate (das CA-Bundle).
• yourdomain.key, der private Schlüssel, der mit Ihrem CSR erstellt wurde.

Auf NetScaler laden Sie das Zwischenzertifikat als separate Datei hoch und verknüpfen Ihr primäres Zertifikat damit. Halten Sie die beiden Dateien daher getrennt, statt sie zusammenzuführen.

Schritt 2: Dateien hochladen und Ihr SSL-Zertifikat installieren

• Melden Sie sich bei Ihrer NetScaler-Verwaltungskonsole an.
• Gehen Sie zu Configuration, erweitern Sie Traffic Management und wählen Sie SSL.
• Klicken Sie auf der SSL-Seite unter Tools auf Manage Certificates / Keys / CSRs.
• Klicken Sie im Dateimanager auf Upload und importieren Sie Ihr primäres Zertifikat (die Datei .crt) und das CA-Bundle (die Datei .ca-bundle). Laden Sie hier auch Ihren privaten Schlüssel (.key) hoch, falls dieser noch nicht auf dem Gerät vorhanden ist.
• Kehren Sie zu Configuration zurück und gehen Sie zu Traffic Management > SSL > Certificates > Server Certificates.
• Klicken Sie auf die Schaltfläche Install.

Geben Sie im Fenster Install Server Certificate die folgenden Angaben ein:

• Certificate-Key Pair Name: ein aussagekräftiger Name für dieses Zertifikat.
• Certificate File Name: klicken Sie auf Browse und wählen Sie die hochgeladene .crt-Datei.
• Key File Name: klicken Sie auf Browse und wählen Sie den mit dem CSR generierten privaten Schlüssel (.key).
• Certificate Format: wählen Sie PEM.
• Password: leer lassen, wenn beim Generieren des privaten Schlüssels keine Passphrase festgelegt wurde.
• Certificate Bundle: lassen Sie dieses Kästchen deaktiviert, da Sie das Bundle im nächsten Schritt separat installieren.
• Notify When Expires: aktivieren Sie dies, um vor Ablauf des Zertifikats eine Erinnerung zu erhalten.
• Notification Period: legen Sie fest, wie viele Tage im Voraus Sie die Erinnerung erhalten möchten.

Klicken Sie auf Install. Installieren Sie anschließend das CA-Bundle.

Schritt 3: CA-Bundle (Zwischenzertifikat) installieren

Gehen Sie zu Traffic Management > SSL > Certificates > CA Certificates und klicken Sie auf Install. Füllen Sie nur diese beiden Felder aus:

• Certificate-Key Pair Name: ein Name für das Zwischenzertifikat (CA-Bundle).
• Certificate File Name: klicken Sie auf Browse und wählen Sie die .ca-bundle-Datei, die Sie zusammen mit der .crt-Datei hochgeladen haben.

Klicken Sie auf Install.

Hinweis: Wenn eine Fehlermeldung wie „Resource already exists [certkeyName, Contents, Intermediate]“ angezeigt wird, ist das CA-Bundle bereits auf dem Gerät vorhanden. Sie können die Meldung ignorieren und fortfahren. Nach der Installation erscheint das Zwischenzertifikat in der Zertifikatsliste im Abschnitt Certificates des SSL-Menüs.

Schritt 4: Ihr SSL-Zertifikat mit dem CA-Bundle verknüpfen

Durch die Verknüpfung weiß NetScaler, dass es das Zwischenzertifikat zusammen mit Ihrem Zertifikat bereitstellen soll, damit Clients eine vollständige Vertrauenskette aufbauen können. Das Überspringen dieses Schritts ist die häufigste Ursache für Warnungen zu einer „unvollständigen Kette“.

• Gehen Sie zu Traffic Management > SSL > Certificates > Server Certificates und wählen Sie Ihr primäres Zertifikat aus.
• Öffnen Sie das Menü Action (oder Select Action) und wählen Sie Link.
• Wählen Sie auf der Seite Link Server Certificate im Feld CA Certificate Name das in Schritt 3 installierte Zwischenzertifikat (CA-Bundle) aus.
• Klicken Sie auf OK, um das primäre Zertifikat mit dem CA-Bundle zu verknüpfen.

Ab NetScaler 13.0 können Sie stattdessen auf die Schaltfläche Link beim Serverzertifikat klicken, um die gesamte Kette automatisch zu verknüpfen, sofern das Zwischenzertifikat und das Stammzertifikat bereits auf dem Gerät vorhanden sind.

Schritt 5: Ihr SSL-Zertifikat an einen Virtual Server binden

Durch die Bindung wird das Zertifikat-Schlüsselpaar an den Virtual Server angehängt, der den HTTPS-Verkehr verarbeitet. Dieser Schritt bewirkt, dass NetScaler das Zertifikat tatsächlich an Besucher ausliefert. Für ein Standard-SSL-Offload-Setup:

• Gehen Sie zu Traffic Management > Load Balancing > Virtual Servers.
• Wählen Sie Ihren Virtual Server vom Typ SSL aus und klicken Sie auf Edit.
• Klicken Sie im Abschnitt Certificates auf No Server Certificate (oder Server Certificate, falls bereits eines gebunden ist).
• Klicken Sie auf Add Binding, dann auf Click to select, wählen Sie Ihr neu installiertes Zertifikat aus und klicken Sie auf Select. Falls bereits ein altes Zertifikat gebunden ist, bestätigen Sie die Aufforderung, es zu ersetzen.
• Klicken Sie auf Bind und dann auf Done, um den Vorgang abzuschließen.

Wenn Sie eine NetScaler-Gateway-Bereitstellung betreiben, binden Sie das Zertifikat stattdessen an den Gateway-vServer: NetScaler Gateway > Virtual Servers, wählen Sie Ihren Server aus, klicken Sie auf Edit und binden Sie es anschließend genauso unter Server Certificate.

Herzlichen Glückwunsch, Ihr SSL-Zertifikat ist nun auf NetScaler installiert und aktiv.

Installation und Bindung über die CLI (optional)

Wenn Sie die Kommandozeile bevorzugen, verbinden Sie sich per SSH (nachdem Sie die Dateien nach /nsconfig/ssl/ hochgeladen haben) und führen Sie die entsprechenden Befehle aus. Ersetzen Sie die Namen und Dateipfade durch Ihre eigenen:

add ssl certKey yourdomain-cert -cert yourdomain.crt -key yourdomain.key
add ssl certKey yourdomain-ca -cert yourdomain.ca-bundle
link ssl certKey yourdomain-cert yourdomain-ca
bind ssl vserver your_vserver -certkeyName yourdomain-cert
save ns config

Testen Sie Ihre NetScaler-SSL-Installation

Nach der Installation des Zertifikats sollten Sie die Konfiguration auf Fehler oder Probleme mit der Zertifikatskette prüfen. Unser SSL Checker liefert Ihnen einen sofortigen Scan und Bericht zum Zertifikat, das Ihr Server präsentiert, einschließlich der Frage, ob das Zwischenzertifikat korrekt ausgeliefert wird.

Häufig gestellte Fragen