Cómo instalar un certificado SSL en NetScaler

Este tutorial te muestra cómo instalar un certificado SSL en NetScaler paso a paso: instalar el certificado, instalar y enlazar el intermedio (CA bundle), y vincular el certificado a tu servidor virtual SSL.

Nota sobre el nombre: el producto se llamaba NetScaler, se renombró a Citrix ADC en 2018, y luego volvió a llamarse NetScaler en 2022 bajo Cloud Software Group. Es posible que todavía veas «Citrix ADC» en versiones y menús más antiguos, pero los pasos siguientes son idénticos para ambos.

Cómo generar un código CSR en NetScaler

El CSR (Certificate Signing Request) es un bloque de texto codificado que contiene tus datos de contacto. Lo envías a tu Autoridad de Certificación (CA) como parte de la validación SSL. Tienes dos opciones:

• Usa nuestro Generador de CSR para crear el CSR automáticamente.
• Sigue nuestro tutorial paso a paso sobre cómo generar un CSR en NetScaler.

Copia el contenido completo de tu archivo CSR, incluidas las líneas —–BEGIN CERTIFICATE REQUEST—– y —–END CERTIFICATE REQUEST—–, y pégalo en tu formulario de pedido de certificado SSL. Espera a que la CA valide y emita tu certificado. Una vez que los archivos SSL lleguen a tu bandeja de entrada, continúa con la instalación.

Cómo instalar un certificado SSL en NetScaler

Para habilitar SSL en NetScaler, primero instalas el certificado y su intermedio, los enlazas, y luego vinculas el certificado a tu servidor virtual. Sigue los pasos en orden.

Paso 1: Prepara los archivos de tu certificado SSL

Descarga el archivo ZIP que te envió tu CA y extráelo. Deberías tener:

• tudominio.crt, tu certificado SSL principal (entidad final).
• tudominio.ca-bundle, los certificados intermedios (el CA bundle).
• tudominio.key, la clave privada generada con tu CSR.

En NetScaler, subes el certificado intermedio como un archivo independiente y enlazas tu certificado principal a él, así que mantén los dos archivos separados en lugar de combinarlos.

Paso 2: Sube los archivos e instala tu certificado SSL

• Inicia sesión en tu consola de administración de NetScaler.
• Ve a Configuration, expande Traffic Management y selecciona SSL.
• En la página SSL, bajo Tools, haz clic en Manage Certificates / Keys / CSRs.
• En el administrador de archivos, haz clic en Upload e importa tu certificado principal (el archivo .crt) y el CA bundle (el archivo .ca-bundle). Sube también tu clave privada (.key) aquí si aún no está en el dispositivo.
• Vuelve a Configuration y ve a Traffic Management > SSL > Certificates > Server Certificates.
• Haz clic en el botón Install.

En la ventana Install Server Certificate, proporciona lo siguiente:

• Certificate-Key Pair Name: un nombre descriptivo para este certificado.
• Certificate File Name: haz clic en Browse y elige el archivo .crt que subiste.
• Key File Name: haz clic en Browse y selecciona la clave privada (.key) generada con el CSR.
• Certificate Format: selecciona PEM.
• Password: déjalo en blanco si no se configuró una frase de contraseña en la clave privada durante la generación.
• Certificate Bundle: deja esto sin marcar, ya que instalarás el bundle por separado en el siguiente paso.
• Notify When Expires: activa esto para recibir un recordatorio antes de que el certificado expire.
• Notification Period: establece con cuántos días de antelación quieres el recordatorio.

Haz clic en Install. A continuación, instala el CA bundle.

Paso 3: Instala el CA bundle (intermedio)

Ve a Traffic Management > SSL > Certificates > CA Certificates y haz clic en Install. Completa solo estos dos campos:

• Certificate-Key Pair Name: un nombre para el certificado intermedio (CA bundle).
• Certificate File Name: haz clic en Browse y selecciona el archivo .ca-bundle que subiste junto con el archivo .crt.

Haz clic en Install.

Nota: si ves un error como «Resource already exists [certkeyName, Contents, Intermediate]», el CA bundle ya está en el dispositivo. Puedes ignorar el mensaje y continuar. Una vez instalado, el intermedio aparece en la lista de certificados dentro de la sección Certificates del menú SSL.

Paso 4: Enlaza tu certificado SSL con el CA bundle

El enlace le indica a NetScaler que sirva el intermedio junto con tu certificado para que los clientes puedan construir una cadena de confianza completa. Omitir este paso es la causa más común de las advertencias de «cadena incompleta».

• Ve a Traffic Management > SSL > Certificates > Server Certificates y selecciona tu certificado principal.
• Abre el menú Action (o Select Action) y elige Link.
• En la página Link Server Certificate, en el campo CA Certificate Name, selecciona el intermedio (CA bundle) que instalaste en el Paso 3.
• Haz clic en OK para enlazar el certificado principal con el CA bundle.

En NetScaler 13.0 y versiones posteriores, puedes en cambio hacer clic en el botón Link del certificado del servidor para enlazar automáticamente toda la cadena cuando el intermedio y la raíz ya están presentes en el dispositivo.

Paso 5: Vincula tu certificado SSL a un servidor virtual

La vinculación adjunta el par certificado-clave al servidor virtual que gestiona el tráfico HTTPS. Este es el paso que hace que NetScaler realmente presente el certificado a los visitantes. Para una configuración estándar de descarga SSL:

• Ve a Traffic Management > Load Balancing > Virtual Servers.
• Selecciona tu servidor virtual de tipo SSL y haz clic en Edit.
• En la sección Certificates, haz clic en No Server Certificate (o en Server Certificate si ya hay uno vinculado).
• Haz clic en Add Binding, luego en Click to select, elige tu certificado recién instalado y haz clic en Select. Si ya hay un certificado antiguo vinculado, confirma el aviso para reemplazarlo.
• Haz clic en Bind y luego en Done para finalizar.

Si tienes una implementación de NetScaler Gateway, vincula el certificado al vServer del gateway en su lugar: NetScaler Gateway > Virtual Servers, selecciona tu servidor, haz clic en Edit, y luego vincula bajo Server Certificate de la misma manera.

Felicidades, tu certificado SSL ahora está instalado y funcionando en NetScaler.

Instalar y vincular desde la CLI (opcional)

Si prefieres la línea de comandos, conéctate por SSH (después de subir los archivos a /nsconfig/ssl/) y ejecuta los comandos equivalentes. Reemplaza los nombres y rutas de archivo con los tuyos:

add ssl certKey yourdomain-cert -cert yourdomain.crt -key yourdomain.key
add ssl certKey yourdomain-ca -cert yourdomain.ca-bundle
link ssl certKey yourdomain-cert yourdomain-ca
bind ssl vserver your_vserver -certkeyName yourdomain-cert
save ns config

Prueba tu instalación SSL de NetScaler

Después de instalar el certificado, verifica la configuración en busca de errores o problemas de cadena. Nuestra SSL Checker te ofrece un escaneo instantáneo y un informe sobre el certificado que presenta tu servidor, incluyendo si el intermedio se sirve correctamente.

Preguntas frecuentes