In diesem Tutorial lernen Sie, wie Sie ein SSL-Zertifikat auf SonicWall installieren (SonicOS). Auf einer SonicWall-Firewall importieren Sie das Zertifikat als ein einziges PKCS#12-Bundle, das das Zertifikat, seinen privaten Schlüssel und die CA-Kette enthält, und weisen es anschließend den Diensten zu, die es benötigen: der Web-Verwaltungsseite und/oder dem SSL-VPN-Portal.
Einen CSR-Code auf SonicWall erzeugen
Wenn Sie Ihr SSL-Zertifikat bereits beantragt und die SSL-Dateien erhalten haben, überspringen Sie den CSR-Abschnitt und springen Sie direkt zu den Installationsschritten.
CSR steht für Certificate Signing Request, einen Block codierten Textes, der die Kontakt- und Domain-Details enthält, die die Zertifizierungsstelle (CA) benötigt, um Ihre Angaben zu überprüfen, bevor sie Ihr Zertifikat ausstellt. Beim Erzeugen des CSR wird auch der passende private Schlüssel erstellt; zusammen bilden CSR und privater Schlüssel das SSL-Zertifikatsschlüsselpaar. Sie haben zwei Möglichkeiten:
- Verwenden Sie unseren CSR-Generator, um den CSR automatisch zu erstellen. Dies ist der einfachste Weg und liefert eine CSR- und eine Datei mit dem privaten Schlüssel, die Sie gemeinsam herunterladen und aufbewahren können.
- Folgen Sie unserer Schritt-für-Schritt-Anleitung zum Erzeugen eines CSR auf SonicWall.
Unabhängig von der gewählten Methode reichen Sie den CSR bei der Bestellung bei der Zertifizierungsstelle ein. Bewahren Sie den privaten Schlüssel sicher und am selben Ort wie den CSR auf, da Sie diesen Schlüssel später benötigen, um die PKCS#12-Datei zu erstellen. Nachdem die CA Ihre Anfrage validiert und das Zertifikat ausgestellt hat, fahren Sie mit der Installation unten fort.
Hinweis: SonicWall-Firewalls importieren das Zertifikat zusammen mit seinem privaten Schlüssel als eine einzige PKCS#12-Datei. Daher vereinfacht es den gesamten Prozess, wenn Sie den CSR und den Schlüssel außerhalb des Geräts erzeugen (mit unserem Generator oder mit OpenSSL). Falls Sie den CSR auf einem anderen System erzeugt haben, ist das kein Problem; stellen Sie nur sicher, dass Sie noch den dazu erstellten privaten Schlüssel besitzen.
SSL-Zertifikat auf SonicWall installieren
Nachdem die CA Ihr Zertifikat ausgestellt hat, laden Sie das ZIP-Archiv herunter und entpacken Sie es auf Ihrem Computer. Sie sollten Ihr Primär- (Server-) Zertifikat, ein oder mehrere Zwischenzertifikate (CA) und den privaten Schlüssel, den Sie mit dem CSR erzeugt haben, besitzen. Die folgenden Schritte entsprechen SonicOS 7.x; die abweichenden Menübezeichnungen für die ältere Firmware 6.5 sind vermerkt.
Schritt 1: Eine PKCS#12-Datei (.pfx) aus Zertifikat und Schlüssel erstellen
SonicWall importiert ein Drittanbieter-Zertifikat samt privatem Schlüssel als eine einzige PKCS#12-Datei (Dateiendung .pfx oder .p12). Wenn Ihre CA Ihnen bereits eine .pfx-Datei bereitgestellt hat, gehen Sie direkt zu Schritt 2. Andernfalls kombinieren Sie Ihren privaten Schlüssel, Ihr Serverzertifikat und die CA-Kette mit OpenSSL zu einer einzigen .pfx-Datei:
openssl pkcs12 -export -out sonicwall.pfx -inkey server.key -in server.crt -certfile ca-bundle.crtErsetzen Sie server.key durch Ihren privaten Schlüssel, server.crt durch Ihr ausgestelltes Zertifikat und ca-bundle.crt durch die Datei mit Ihren Zwischen- (und Root-)Zertifikaten. OpenSSL fordert Sie auf, ein Exportkennwort festzulegen; merken Sie es sich, denn SonicWall verlangt beim Import der Datei dasselbe Kennwort. Wenn Ihr privater Schlüssel keine Kettendatei besitzt, können Sie den Teil -certfile weglassen, aber das Einbinden der Kette an dieser Stelle verhindert spätere Vertrauenswarnungen im Browser.
Unter Windows benötigen Sie kein OpenSSL. Wenn das Zertifikat für einen Windows-Rechner ausgestellt wurde, öffnen Sie das Zertifikate-Snap-In (Lokaler Computer) in mmc, suchen Sie das Zertifikat und wählen Sie Alle Aufgaben > Exportieren, wobei Sie Ja, privaten Schlüssel exportieren auswählen, um eine .pfx-Datei zu erzeugen.
Schritt 2: Die Zertifikatsseite in SonicOS öffnen
Melden Sie sich als Administrator an der SonicWall-Verwaltungsoberfläche an. Gehen Sie in SonicOS 7.x zu Device > Settings > Certificates. In SonicOS 6.5 in der Manage-Ansicht lautet der Pfad Manage > Appliance > Certificates, und bei älterer Legacy-Firmware ist es System > Certificates. Die Seite listet alle derzeit auf dem Gerät vorhandenen Zertifikate in der Zertifikatstabelle auf.
Schritt 3: Das PKCS#12-Zertifikat importieren
Klicken Sie auf Import, um den Dialog „Import Certificate“ zu öffnen. Wählen Sie die Option Import a local end-user certificate with private key from a PKCS#12 (.p12 or .pfx) encoded file. Füllen Sie dann die Felder aus:
- Geben Sie unter Certificate Name eine Bezeichnung ein, die Sie später wiedererkennen, zum Beispiel Ihren Domainnamen.
- Geben Sie unter Certificate Management Password das Exportkennwort ein, das Sie beim Erstellen der .pfx-Datei in Schritt 1 festgelegt haben.
- Klicken Sie auf Browse (bei manchen Versionen als Choose File oder Add File bezeichnet), wählen Sie Ihre .pfx-Datei aus und bestätigen Sie.
Klicken Sie auf Import, um das Zertifikat auf die Firewall zu laden. Bei Erfolg erscheint der neue Eintrag in der Zertifikatstabelle, und sein Status zeigt an, dass das Zertifikat mit einem privaten Schlüssel gepaart ist. Da Sie die Kette in die .pfx-Datei eingebunden haben, werden die Zwischenzertifikate mit importiert, sodass Sie in der Regel keinen separaten CA-Import benötigen. Falls Ihre CA die Kette separat bereitgestellt hat und Sie sie eigenständig importieren möchten, verwenden Sie erneut Import und wählen Sie Import a CA certificate from a PKCS#7 (.p7b), PEM (.pem), or DER (.der or .cer) encoded file.
Schritt 4: Das Zertifikat dort anwenden, wo Sie es benötigen
Der Import des Zertifikats aktiviert es nicht von selbst; Sie müssen es einem Dienst zuweisen. Wählen Sie, was auf Sie zutrifft.
Für die SonicWall-Admin-Anmeldeseite (HTTPS-Verwaltung): Gehen Sie zu Device > Settings > Administration und öffnen Sie den Tab Management (auf SonicOS 6.5: Manage > Appliance > Base Settings). Wählen Sie im Dropdown-Menü Certificate Selection das gerade importierte Zertifikat aus und klicken Sie auf Accept. Damit der Browser der Verwaltungsseite ohne Warnung vertraut, muss der allgemeine Name des Zertifikats (oder ein SAN-Eintrag) mit dem Hostnamen übereinstimmen, über den Sie die Firewall erreichen. Verwenden Sie daher einen FQDN statt der reinen IP-Adresse.
Für den SSL-VPN-Fernzugriff: Gehen Sie zu Network > SSL VPN > Server Settings. Wählen Sie im Dropdown-Menü Certificate Selection (standardmäßig auf Use Self-signed Certificate eingestellt) das von Ihnen importierte Zertifikat aus und klicken Sie auf Accept. Dies ist das Zertifikat, das Benutzer beim Verbinden mit dem SSL-VPN-Portal sehen; ein öffentlich vertrauenswürdiges Zertifikat beseitigt somit die Warnung, die das standardmäßige selbstsignierte Zertifikat auslöst.
Schritt 5: Den betroffenen Dienst neu starten
SonicOS wendet das neue Zertifikat an, sobald Sie auf Accept klicken, und der Verwaltungs- oder SSL-VPN-Dienst startet seinen HTTPS-Listener neu. Ihre Browsersitzung zur Admin-Seite kann kurzzeitig abbrechen, während das Gerät die Zertifikate wechselt; melden Sie sich erneut über den zum Zertifikat passenden Hostnamen an. Wenn ein Dienst das neue Zertifikat nicht übernimmt, schalten Sie ihn aus und wieder ein, oder starten Sie die Firewall während eines Wartungsfensters unter Device > Settings > Restart neu (SonicOS 6.5: Manage > Appliance > Restart).
Das war’s schon. Ihr SSL-Zertifikat ist jetzt auf SonicWall installiert und aktiv.
Ihre SSL-Installation testen
Nach der Installation des Zertifikats auf SonicWall führen Sie einen SSL-Scan gegen den öffentlichen Hostnamen und Port (die Verwaltungsseite oder das SSL-VPN-Portal) durch, um zu bestätigen, dass Zertifikat und Kette korrekt ausgeliefert werden, und um eventuelle Fehler zu erkennen. Verwenden Sie dazu unseren SSL Checker, um Ihr SSL-Zertifikat zu testen.
Sie können auch direkt auf dem Gerät bestätigen, dass das Zertifikat vorhanden und korrekt ist: Öffnen Sie Device > Settings > Certificates, wählen Sie den Eintrag aus und prüfen Sie dessen Details, um Aussteller, allgemeinen Namen und Gültigkeitsdaten zu überprüfen, damit Sie sicher sein können, dass das richtige Zertifikat installiert ist und nicht abgelaufen ist.
Häufig gestellte Fragen
Eine SonicWall-Firewall importiert ein Drittanbieter-Zertifikat zusammen mit seinem privaten Schlüssel, und das PKCS#12-Format (eine .pfx– oder .p12-Datei) ist der Container, der das Zertifikat, den passenden privaten Schlüssel und die CA-Kette in einer passwortgeschützten Datei enthält. Wenn Sie nur das Zertifikat ohne den Schlüssel importieren, kann SonicOS es nicht für HTTPS oder SSL VPN verwenden. Erstellen Sie das Bundle mit dem OpenSSL-Befehl aus Schritt 1, oder exportieren Sie es unter Windows als .pfx-Datei.
Gehen Sie in SonicOS 7.x zu Device > Settings > Certificates. In SonicOS 6.5 in der Manage-Ansicht lautet der Pfad Manage > Appliance > Certificates, und bei älterer Legacy-Firmware ist es System > Certificates. Von dort aus importieren Sie Zertifikate, sehen deren Details ein und löschen nicht mehr benötigte.
Gehen Sie nach dem Import des Zertifikats zu Device > Settings > Administration und öffnen Sie den Tab Management, wählen Sie dann Ihr Zertifikat aus dem Dropdown-Menü Certificate Selection aus und klicken Sie auf Accept. Der Browser vertraut der Verwaltungsseite nur ohne Warnung, wenn Sie die Firewall über den im Zertifikat angegebenen Hostnamen erreichen. Verwenden Sie daher den FQDN, der mit dem allgemeinen Namen oder SAN des Zertifikats übereinstimmt, nicht die reine IP-Adresse.
Gehen Sie zu Network > SSL VPN > Server Settings, öffnen Sie das Dropdown-Menü Certificate Selection (standardmäßig auf Use Self-signed Certificate eingestellt), wählen Sie das von Ihnen importierte Zertifikat aus und klicken Sie auf Accept. SSL-VPN-Benutzer sehen dann Ihr öffentlich vertrauenswürdiges Zertifikat, wenn sie sich mit dem Portal verbinden, anstelle der Browserwarnung, die das selbstsignierte Standardzertifikat auslöst.
Die beiden häufigsten Ursachen sind ein fehlendes Zwischenzertifikat (CA) und eine Hostnamen-Nichtübereinstimmung. Stellen Sie sicher, dass die Kette beim Erstellen der .pfx-Datei einbezogen wurde (der -certfile-Teil des OpenSSL-Befehls), und bestätigen Sie, dass Sie die Firewall über den genauen Hostnamen im Zertifikat erreichen, da auch eine Abweichung zwischen der URL und dem allgemeinen Namen oder SAN des Zertifikats eine Warnung auslöst. Wenn Sie das Zertifikat zugewiesen haben, aber weiterhin das alte erscheint, starten Sie den betroffenen Dienst neu, damit SonicOS das neue Zertifikat ausliefert.
SonicOS kann eine Zertifikatssignierungsanfrage erstellen, aber der private Schlüssel verbleibt dann auf dem Gerät, was einen späteren PKCS#12-Import erschwert. Für die meisten Installationen ist es einfacher, den CSR und den Schlüssel außerhalb des Geräts zu erzeugen, mit unserem CSR-Generator oder mit OpenSSL, sodass Sie das ausgestellte Zertifikat und den Schlüssel zu einer .pfx-Datei bündeln und diese importieren können. Details finden Sie in unserer Anleitung zum Erzeugen eines CSR auf SonicWall.
Sparen Sie 10% auf SSL-Zertifikate, wenn Sie noch heute bestellen!
Schnelle Ausstellung, starke Verschlüsselung, 99,99% Browser-Vertrauen, engagierter Support und 25-tägige Geld-zurück-Garantie. Gutscheincode: SAVE10
