Cómo instalar un certificado SSL en Ivanti Connect Secure (Pulse Secure) SSL VPN

Esta guía te ofrece instrucciones paso a paso sobre cómo instalar un certificado SSL en Ivanti Connect Secure, el dispositivo SSL VPN vendido durante años como Pulse Secure. Importarás el certificado firmado en la consola de administración en System > Configuration > Certificates > Device Certificates, añadirás los certificados intermedios para que la cadena esté completa, y vincularás el resultado a tus puertos virtuales.

Una nota sobre los nombres, porque ambos siguen en uso. Ivanti adquirió Pulse Secure el 1 de diciembre de 2020 y renombró la gama: Pulse Connect Secure pasó a llamarse Ivanti Connect Secure (ICS), y la aplicación de escritorio que la mayoría conocía como Pulse Secure ahora es el Ivanti Secure Access Client. Para esta tarea, solo cambió la marca. La ruta del menú, los nombres de los botones y los pasos siguientes son los mismos, ya sea que tu dispositivo siga mostrando la marca Pulse en una versión antigua 9.1 o 22.x, o la nueva marca Ivanti.

Genera un código CSR en Ivanti Connect Secure

Si ya generaste el código CSR y recibiste el certificado SSL de tu CA, omite esta sección y ve directamente a instalar el certificado.

Crear un CSR (Certificate Signing Request) es parte del proceso de solicitud del certificado SSL. El CSR es un bloque de texto codificado que contiene el dominio que deseas proteger y la organización propietaria del mismo. Cuando generas el CSR en el dispositivo, este también crea tu clave privada y la conserva en el dispositivo, razón por la cual el certificado firmado debe volver al mismo dispositivo y a la misma solicitud pendiente.

Tienes dos opciones:

• Usa nuestro Generador de CSR para crear el CSR automáticamente. Te entrega tanto el CSR como la clave privada correspondiente, que luego importarás juntas durante la instalación.
• Sigue nuestro tutorial paso a paso sobre cómo generar un CSR en Ivanti Connect Secure, que mantiene la clave privada en el dispositivo.

Envía el CSR a tu Autoridad Certificadora durante el pedido. Una vez que la CA lo valide y emita tu certificado, continúa con la instalación a continuación.

Instala un certificado SSL en Ivanti Connect Secure

Después de que la CA firme tu certificado y envíe los archivos a tu bandeja de entrada, descarga el archivo ZIP y extrae su contenido en tu ordenador. Los pasos exactos a continuación dependen de dónde generaste el CSR, así que sigue la ruta que corresponda a tu situación.

Si generaste el CSR en el dispositivo

1. Inicia sesión en tu consola de administración de Ivanti Connect Secure.
2. Navega hasta System > Configuration > Certificates > Device Certificates.
3. En Certificate Signing Requests, haz clic en el enlace Pending CSR correspondiente al certificado que deseas instalar.
4. En la parte inferior de la nueva ventana, en la sección Import signed certificate, haz clic en Browse y selecciona el certificado que descargaste (en formato PKCS#7 o DER).
5. Haz clic en Import.

Consejo: después de importar un certificado de esta manera, guarda una copia de la configuración de tu sistema. Ve a Maintenance > Import/Export > Import/Export Configuration y haz clic en Save Config As para descargar el archivo system.cfg. Esta copia de seguridad te permite restaurar el certificado y su clave privada si alguna vez lo necesitas.

Si generaste el CSR en otro lugar

Si creaste el CSR en otro sitio (por ejemplo, con nuestro Generador de CSR), importarás el certificado junto con su clave privada:

1. Desde la página de estado de tu certificado, haz clic en el botón View certificate.
2. En la nueva ventana, selecciona el formato de certificado deseado (por ejemplo, PKCS#7) y descarga el certificado.
3. Navega hasta System > Configuration > Certificates > Device Certificates y haz clic en Import Certificate & Key.
4. Elige cómo están empaquetados tus archivos y luego completa los campos:
   • Certificate file: el certificado firmado que descargaste.
   • Private key file: la clave que generaste con el CSR.
   • Password: la contraseña de la clave o del PKCS#12, si tu archivo está protegido con una.
5. Haz clic en Import.

Nota: si el certificado y la clave están combinados en un único archivo PKCS#12 (.pfx o .p12), selecciona la opción If certificate file includes private key en la página de importación. Luego proporcionas ese único archivo más su contraseña, y dejas el campo de clave separado vacío.

Importa tu certificado intermedio

Para presentar una cadena completa en la que confíen los navegadores y clientes, importa los certificados intermedios (de la CA):

1. En la consola de administración, selecciona System > Configuration > Certificates > Device Certificates y haz clic en el enlace Intermediate Device CAs. Ten cuidado de usar este y no Trusted Client CAs, que es la lista separada utilizada para validar los certificados presentados por los clientes, no para construir tu propia cadena.
2. Haz clic en Import CA Certificate y busca tu archivo de certificado intermedio.
3. Haz clic en Import Certificate.
4. Si tu CA proporcionó más de un intermedio, puedes subirlos en un único archivo PEM o repetir la importación para cada uno. Ivanti documenta que la cadena se envía en orden descendente, comenzando por la raíz, así que mantén los certificados en ese orden dentro de un archivo combinado en lugar de mezclarlos.

Asigna el certificado a tus Puertos Virtuales

Importar un certificado no lo pone en servicio. El paso final es vincularlo a los puertos que gestionan el tráfico VPN, típicamente tus puertos internos y externos:

1. En tu lista de certificados de dispositivo, haz doble clic en el certificado antiguo que estás reemplazando.
2. Desvincúlalo de cualquier puerto al que esté asignado, luego haz clic en Save Changes.
3. De vuelta en la lista, haz doble clic en el certificado nuevo.
4. Selecciona y añade los puertos internos y externos correspondientes, luego haz clic en Save Changes.

Un puerto solo puede servir a un certificado de dispositivo a la vez, por lo que desvincular primero el certificado antiguo es lo que libera el puerto para el nuevo. Los administradores conectados a través del puerto que estás modificando pueden ver que la sesión se interrumpe mientras el dispositivo cambia de certificado, así que realiza esto en una ventana de mantenimiento si la VPN está en uso.

Prueba tu instalación SSL

Después de instalar el certificado, ejecuta un análisis contra el nombre de host público de tu VPN para confirmar que el certificado se sirve correctamente y que la cadena intermedia está completa. Nuestro SSL Checker informa sobre el certificado, la cadena y los protocolos que ofrece el dispositivo. Si el informe indica que la cadena está incompleta, el intermedio se importó en la lista equivocada o no se importó en absoluto: repite el paso de Intermediate Device CAs descrito anteriormente.

Preguntas frecuentes