Cómo generar un CSR en Kemp LoadMaster

Esta guía te muestra cómo generar una CSR (Certificate Signing Request) en un Kemp LoadMaster. Creas la solicitud en el WUI de LoadMaster, en Certificates & Security > Generate CSR, le das un nombre a la clave privada, completas los datos de tu organización y luego copias el texto de la CSR y lo envías a tu Autoridad de Certificación. La clave privada se genera al mismo tiempo y permanece en el LoadMaster, vinculada al nombre que elegiste, por lo que el certificado firmado debe importarse de vuelta al mismo dispositivo para que coincida con ella.

Nota: Kemp fue adquirida por Progress Software en noviembre de 2021, y el producto lleva oficialmente la marca Progress Kemp LoadMaster. El firmware del dispositivo se llama LMOS (LoadMaster Operating System), con las versiones actuales en la rama 7.2.x. El nombre «Kemp LoadMaster» sigue siendo ampliamente utilizado por los administradores y en la documentación de terceros, por lo que esta guía usa ambos de forma indistinta.

Generar la CSR en Kemp LoadMaster

Si ya has generado tu CSR y has recibido los archivos firmados de la CA, omite esta sección y ve directamente a cómo instalar un certificado SSL en Kemp LoadMaster. De lo contrario, sigue los pasos a continuación. Las rutas de menú y las etiquetas de los campos corresponden a las versiones actuales de LMOS 7.2.x.

Paso 1: Abre la pantalla Generate CSR

• Inicia sesión en la interfaz web (WUI) de tu LoadMaster con una cuenta que tenga permisos de gestión de certificados, como el administrador integrado bal.
• En el menú principal, expande Certificates & Security y abre Generate CSR. Se abrirá el formulario Generate Certificate Signing Request.
• En el campo Private Key Identifier, introduce un nombre descriptivo para la clave, por ejemplo tudominio-2026. Esta etiqueta es la forma en que el LoadMaster mantiene la clave privada vinculada con el futuro certificado firmado, así que usa algo que puedas reconocer más adelante.

Paso 2: Completa el formulario

Completa todos los campos. Las Autoridades de Certificación públicas requieren todos los valores de ubicación y organización para los productos Organization Validated (OV) y Extended Validation (EV); los certificados Domain Validated (DV) también los utilizan, aunque algunos no se imprimen en el certificado emitido.

• 2 Letter Country Code: el código ISO 3166-1 alfa-2 del país donde está registrada tu organización, por ejemplo US para Estados Unidos o DE para Alemania. Consulta la lista completa de códigos de país si tienes dudas.
• State/Province (Entire Name – New York, not NY): el nombre completo del estado, provincia o región, por ejemplo Arizona, no la abreviatura.
• City: el nombre completo de la ciudad donde tu organización está oficialmente ubicada, por ejemplo Phoenix.
• Company: el nombre legal completo de la empresa propietaria del dominio, exactamente como aparece en tu registro comercial, por ejemplo Tu Empresa S.L.. Las CA rechazan las discrepancias entre este campo y el nombre comercial verificado para los certificados OV y EV.
• Organization: este campo corresponde a la Unidad Organizativa (departamento), por ejemplo IT o Marketing. Las CA públicas ya no incluyen el campo OU en los certificados emitidos, así que déjalo en blanco o introduce un nombre de departamento genérico.
• Common Name: el nombre de dominio completamente calificado (FQDN) que deseas proteger, por ejemplo www.tudominio.com. Para un certificado wildcard, coloca un asterisco delante del dominio raíz, por ejemplo *.tudominio.com.
• Email Address: un correo electrónico de contacto administrativo de tu organización. Algunas CA lo usan para la correspondencia de validación; en caso contrario, es solo informativo.
• SAN/UCC Names: enumera todos los nombres de host adicionales que el certificado debe cubrir, separados por espacios o comas, por ejemplo tudominio.com mail.tudominio.com. Las CA públicas validan y presentan los certificados según la lista SAN en lugar del Common Name, así que repite aquí también el valor del Common Name.
• Generate Elliptical Curve Request: marca esta casilla solo si deseas una clave ECDSA (P-256) y tu CA y clientes la admiten. Déjala sin marcar para la clave RSA estándar de 2048 bits, que es la opción de mayor compatibilidad.

LoadMaster firma la solicitud con SHA-256 de forma predeterminada, lo cual cumple con el requisito mínimo de resumen (digest) de todas las CA públicas actuales.

Paso 3: Crea la CSR

Vuelve a comprobar todos los campos, especialmente el Common Name y la lista SAN, y luego haz clic en Create CSR. El LoadMaster genera el par de claves en el dispositivo y muestra el texto de la CSR en pantalla, entre los marcadores —–BEGIN CERTIFICATE REQUEST—– y —–END CERTIFICATE REQUEST—–. La clave privada permanece en el LoadMaster, identificada con el Private Key Identifier que elegiste en el Paso 1.

Copia y envía la CSR

El texto que muestra el LoadMaster tiene este aspecto:

-----BEGIN CERTIFICATE REQUEST-----
MIIC...your encoded request...AB==
-----END CERTIFICATE REQUEST-----

Selecciona todo el bloque, incluidas las líneas —–BEGIN CERTIFICATE REQUEST—– y —–END CERTIFICATE REQUEST—– y cada carácter entre ellas. Cada marcador usa cinco guiones a cada lado, sin espacios. Copia el bloque y pégalo en el campo CSR de la página de pedido de tu proveedor SSL. Si quieres conservar una copia local, pega el mismo texto en un editor de texto plano (Notepad, TextEdit en modo de texto plano, o cualquier editor de código) y guárdalo como archivo .csr o .txt.

No elimines la entrada correspondiente en SSL Certificates mientras esperas que te devuelvan el certificado firmado. El LoadMaster necesita la clave privada almacenada para vincularla con el certificado emitido en el momento de la importación.

Comprueba la CSR antes de enviarla

Vale la pena confirmar que la solicitud contiene los datos correctos de dominio y organización antes de realizar el pedido. Pega el texto de la CSR en nuestro decodificador de CSR en línea para ver el Common Name, las entradas SAN, el tamaño de la clave, el algoritmo de firma y los valores de organización que el LoadMaster escribió en la solicitud. Si algo está mal, genera una nueva CSR en el LoadMaster en lugar de editar el archivo: cualquier cambio en el texto invalida la firma.

Si prefieres preparar la solicitud desde un navegador, también puedes crear una con nuestro Generador de CSR en línea. Ten en cuenta que el generador crea la clave privada en tu navegador, por lo que debes guardar la clave tú mismo y combinarla con el certificado emitido en un archivo .pfx antes de importarlo al LoadMaster (LoadMaster acepta PEM y PFX).

Después de que la CA emita tu certificado

Una vez que la CA valida la solicitud, te envía por correo electrónico el certificado firmado y su cadena intermedia (CA), normalmente en un archivo ZIP. Descarga y extrae el archivo en tu ordenador, y luego vuelve al WUI de LoadMaster:

• Abre Certificates & Security > SSL Certificates y usa Import Certificate para subir el certificado firmado. Introduce el mismo Certificate Identifier que usaste como Private Key Identifier al generar la CSR. El LoadMaster empareja el certificado importado con la clave privada almacenada mediante ese nombre, por lo que no se necesita un archivo de clave independiente.
• Añade el certificado intermedio (paquete de CA) en Certificates & Security > Intermediate Certs para que el LoadMaster pueda servir la cadena completa. Si la CA te devolvió un único archivo .pfx que ya incluye la cadena, puedes importarlo directamente y omitir el paso independiente del intermedio.
• Asigna el certificado a tu Virtual Service en la sección Assignment del certificado: mueve el servicio de Available VSs al cuadro de asignados con el botón de flecha derecha y luego haz clic en Save Changes. Un certificado que se importa pero no se asigna queda almacenado en el LoadMaster, pero no atiende tráfico, lo cual es la razón más común por la que un certificado recién instalado parece no tener efecto.

El procedimiento completo, incluida la aceleración SSL en el Virtual Service, está en nuestra guía sobre cómo instalar un certificado SSL en Kemp LoadMaster.