Cómo generar un CSR en Radware Alteon (WBM y CLI)

Esta guía te muestra cómo generar un CSR (Certificate Signing Request) en un controlador de entrega de aplicaciones Radware Alteon, utilizando la consola Web Based Management (WBM) o la interfaz de línea de comandos (CLI). Cuando Alteon genera la solicitud, también crea la clave privada correspondiente dentro del repositorio de certificados del dispositivo. Esa clave nunca sale del equipo junto con el CSR, por lo que debes importar el certificado firmado de vuelta en el mismo Alteon bajo el mismo ID. Las rutas de menú que se indican a continuación son consistentes en las versiones actuales de AlteonOS 3x.

Generar el CSR en Alteon

Si ya has generado tu CSR y has recibido los archivos firmados de la Autoridad de Certificación, omite esta sección y ve directamente a cómo instalar un certificado SSL en Alteon. De lo contrario, sigue cualquiera de los métodos siguientes. Ambos producen el mismo resultado, así que utiliza la interfaz con la que te sientas más cómodo.

Antes de empezar, ten a mano los datos del sujeto del certificado, ya que una CA pública los valida: el nombre de dominio completamente calificado (FQDN) exacto que deseas proteger, el nombre legal completo de tu organización, y la ciudad, estado o provincia, y el código de país de dos letras donde está registrada.

Generar un CSR en la consola web (WBM)

Paso 1: Abre el repositorio de certificados. Inicia sesión en la consola Web Based Management de Alteon y ve a Configuration > Application Delivery > SSL > Certificate Repository. Si administras el dispositivo a través de Radware APSolute Vision, la misma pantalla está disponible allí para el Alteon seleccionado.

Paso 2: Agrega una entrada de certificado. Haz clic en el botón + (Add), asigna a la entrada un ID único (por ejemplo, tu nombre de dominio) y confirma. El repositorio ahora muestra filas para la Key, la Request (CSR) y el Certificate, cada una con el estado Not Generated.

Paso 3: Genera la solicitud y la clave. Selecciona la entrada Request (CSR) y haz clic en Generate. Alteon abre un formulario para los datos del sujeto y la configuración criptográfica. Complétalo de la siguiente manera:

• Common Name: el FQDN exacto que estás protegiendo, por ejemplo www.tudominio.com (o *.tudominio.com para un comodín). Este es el único campo de host que captura el generador integrado, por lo que debe coincidir con precisión con el sitio.
• Organization, Locality (ciudad), State/Province y Country: los datos registrados de tu empresa. Escribe el estado completo y utiliza el código de país ISO de dos letras. Estos campos son obligatorios para los certificados OV y EV; un certificado DV se valida únicamente con el control del dominio.
• Key size: mantén el valor predeterminado de 2048 bits (o elige 3072 o 4096 si tu versión de AlteonOS lo ofrece). La lista también incluye 512 y 1024; no elijas esas opciones, porque las CA públicas rechazan claves menores de 2048 bits.
• Hash algorithm: mantén el valor predeterminado de SHA-256 (o elige SHA-384 / SHA-512). La lista también ofrece md5 y sha1: nunca los selecciones, porque están obsoletos y las CA los rechazan.

Haz clic en Apply para activar el cambio y luego en Save para escribirlo en la memoria flash, de modo que la clave y la solicitud sobrevivan a un reinicio.

Paso 4: Exporta el CSR. Abre la acción Export de la misma entrada, configura el componente en Request (CSR) y exporta as Text. Copia todo el bloque, desde -----BEGIN CERTIFICATE REQUEST----- hasta -----END CERTIFICATE REQUEST-----, y pégalo en el campo CSR de tu pedido SSL. El bloque tiene este aspecto:

-----BEGIN CERTIFICATE REQUEST-----
MIIC...your encoded request...AB==
-----END CERTIFICATE REQUEST-----

Cada marcador utiliza cinco guiones a cada lado, sin espacios. Deja la entrada en el repositorio mientras esperas el certificado firmado: Alteon la necesita para emparejar el certificado emitido con su clave privada cuando lo importes más adelante.

Generar un CSR en la CLI

Conéctate a Alteon mediante SSH (o la consola) e inicia sesión. Accede al menú de solicitud para un nuevo ID y crea el CSR con el comando generate:

/cfg/slb/ssl/certs/request <id>
generate

Reemplaza <id> con tu propio identificador (por ejemplo, tu nombre de dominio). El comando generate te solicitará entonces, un campo a la vez:

• Key type: la primera solicitud, con las opciones rsa y ec, siendo rsa la predeterminada. Pulsa Enter para mantener RSA a menos que hayas confirmado que tu Autoridad de Certificación emite certificados ECDSA para el producto que estás comprando.
• Key size: las opciones son 512, 1024, 2048 y 4096, con 2048 como predeterminada. Mantén 2048 (el mínimo que firmará una CA pública) o introduce un tamaño mayor; nunca bajes a 1024.
• Hash algorithm: la solicitud predeterminada es sha256, que es lo que quieres; mantenla o elige sha384 / sha512. Las opciones md5 y sha1 están obsoletas, así que no las selecciones.
• Common name: el FQDN que estás protegiendo, por ejemplo www.tudominio.com. Este campo es obligatorio.
• Use certificate default values: responde n para que Alteon te solicite la Organization, Locality, State/Province y Country, y luego introduce tus datos registrados. Responde y solo si ya has configurado esos valores predeterminados en el menú del repositorio de certificados.
• Validation period: si el generador solicita uno, solo se aplica a certificados autofirmados y se ignora una vez que una CA pública firma tu solicitud, así que el valor predeterminado está bien.

Una vez generada la solicitud, expórtala como texto y copia el bloque PEM:

/cfg/slb/ssl/certs/export

En las solicitudes, configura el tipo de componente como Certificate Signing Request (CSR), introduce el mismo ID y elige text para que el CSR se imprima y puedas copiarlo. Finalmente, aplica la nueva clave y solicitud a la configuración:

apply
save

Pega el CSR copiado en tu pedido SSL y envíalo a la Autoridad de Certificación. Mantén la clave y el futuro certificado de servidor bajo el mismo ID para que sea fácil emparejarlos cuando instales el certificado firmado.

Comprueba el CSR antes de enviarlo

Vale la pena confirmar que la solicitud contiene el dominio y la organización correctos antes de realizar el pedido. Pega el bloque exportado en nuestro decodificador de CSR en línea para leer el Common Name, el tamaño de clave y los campos del sujeto que Alteon escribió en él. Si algo está mal, genera un nuevo CSR en el dispositivo en lugar de editar el archivo: el texto de la solicitud está firmado por su clave privada, por lo que cualquier cambio la invalida.

El generador integrado de Alteon captura un único Common Name y no añade entradas de Subject Alternative Name (SAN). Si necesitas un certificado que cubra varios nombres de host mediante SAN, prepara la solicitud fuera del dispositivo con nuestro generador de CSR basado en navegador o con OpenSSL, y luego importa la clave privada y el certificado firmado al repositorio. Guarda la clave privada que te proporcione el generador, porque Alteon no la habrá creado.

Después de que la CA emita tu certificado

Cuando la CA valida el CSR, te envía por correo electrónico el certificado de servidor firmado y su cadena intermedia (CA). Importa el certificado de servidor al repositorio bajo el mismo ID que la solicitud para que se empareje con la clave privada existente, e importa la CA intermedia como una entrada propia. La importación es solo la mitad del trabajo en Alteon: después debes crear una política SSL y vincular tanto la política como el certificado de servidor al servicio virtual HTTPS, que es el paso que realmente pone el certificado en funcionamiento. El procedimiento completo está en nuestra guía sobre cómo instalar un certificado SSL en Alteon. Una vez que esté activo, confirma la cadena y la fecha de caducidad con nuestro SSL Checker.