Comment générer un CSR sur Radware Alteon (WBM et CLI)

Ce guide vous montre comment générer une CSR (Certificate Signing Request) sur un contrôleur de distribution d’applications Radware Alteon, en utilisant soit la console Web Based Management (WBM), soit l’interface en ligne de commande (CLI). Lorsqu’Alteon crée la demande, il génère également la clé privée correspondante dans le référentiel de certificats de l’appareil. Cette clé ne quitte jamais l’appareil avec la CSR, vous devez donc importer le certificat signé sur ce même Alteon, sous le même ID. Les chemins de menu ci-dessous sont cohérents sur l’ensemble des versions actuelles d’AlteonOS 3x.

Générer la CSR sur Alteon

Si vous avez déjà généré votre CSR et reçu les fichiers signés de l’autorité de certification, passez directement à la section comment installer un certificat SSL sur Alteon. Sinon, suivez l’une des méthodes ci-dessous. Les deux produisent le même résultat, utilisez donc l’interface avec laquelle vous êtes le plus à l’aise.

Avant de commencer, préparez les informations du sujet de votre certificat, car une autorité de certification publique les vérifie : le nom de domaine complet exact (FQDN) que vous souhaitez sécuriser, le nom légal complet de votre organisation, ainsi que la ville, l’état ou la province, et le code pays à deux lettres où elle est enregistrée.

Générer une CSR dans la console Web (WBM)

Étape 1 : Ouvrez le référentiel de certificats. Connectez-vous à la console Web Based Management d’Alteon et accédez à Configuration > Application Delivery > SSL > Certificate Repository. Si vous gérez l’appareil via Radware APSolute Vision, le même écran y est disponible pour l’Alteon sélectionné.

Étape 2 : Ajoutez une entrée de certificat. Cliquez sur le bouton + (Ajouter), attribuez à l’entrée un ID unique (par exemple, votre nom de domaine), puis validez. Le référentiel affiche désormais des lignes pour la Key (clé), la Request (CSR) et le Certificate (certificat), chacune avec le statut Not Generated.

Étape 3 : Générez la demande et la clé. Sélectionnez l’entrée Request (CSR) et cliquez sur Generate. Alteon ouvre un formulaire pour les informations du sujet et les paramètres cryptographiques. Remplissez-le comme suit :

• Common Name : le FQDN exact que vous sécurisez, par exemple www.yourdomain.com (ou *.yourdomain.com pour un certificat wildcard). C’est le seul champ d’hôte que le générateur intégré capture, il doit donc correspondre précisément au site.
• Organization, Locality (ville), State/Province et Country : les informations enregistrées de votre entreprise. Écrivez l’état en toutes lettres et utilisez le code pays ISO à deux lettres. Ces champs sont requis pour les certificats OV et EV ; un certificat DV se valide uniquement sur le contrôle du domaine.
• Key size : conservez la valeur par défaut de 2048 bits (ou choisissez 3072 ou 4096 si votre version d’AlteonOS le propose). La liste inclut aussi 512 et 1024 ; ne les choisissez pas, car les autorités de certification publiques rejettent les clés de moins de 2048 bits.
• Hash algorithm : conservez la valeur par défaut de SHA-256 (ou choisissez SHA-384 / SHA-512). La liste propose aussi md5 et sha1 : ne les sélectionnez jamais, car ils sont obsolètes et les autorités de certification les rejettent.

Cliquez sur Apply pour activer la modification, puis sur Save pour l’enregistrer en mémoire flash afin que la clé et la demande survivent à un redémarrage.

Étape 4 : Exportez la CSR. Ouvrez l’action Export de la même entrée, définissez le composant sur la Request (CSR), et exportez-la as Text. Copiez l’intégralité du bloc, de -----BEGIN CERTIFICATE REQUEST----- à -----END CERTIFICATE REQUEST-----, et collez-le dans le champ CSR de votre commande SSL. Le bloc ressemble à ceci :

-----BEGIN CERTIFICATE REQUEST-----
MIIC...your encoded request...AB==
-----END CERTIFICATE REQUEST-----

Chaque marqueur utilise cinq tirets de chaque côté, sans espaces. Laissez l’entrée dans le référentiel pendant que vous attendez le certificat signé : Alteon en a besoin pour associer le certificat émis à sa clé privée lorsque vous l’importerez plus tard.

Générer une CSR en CLI

Connectez-vous à Alteon via SSH (ou la console) et identifiez-vous. Accédez au menu de la demande pour un nouvel ID et créez la CSR avec la commande generate :

/cfg/slb/ssl/certs/request <id>
generate

Remplacez <id> par votre propre identifiant (par exemple, votre nom de domaine). La commande generate vous invite ensuite à renseigner les champs un par un :

• Key type : la première invite, avec les options rsa et ec, rsa étant la valeur par défaut. Appuyez sur Entrée pour conserver RSA, sauf si vous avez confirmé que votre autorité de certification émet des certificats ECDSA pour le produit que vous achetez.
• Key size : les options sont 512, 1024, 2048 et 4096, avec 2048 comme valeur par défaut. Conservez 2048 (le minimum qu’une autorité de certification publique signera) ou saisissez une taille supérieure ; ne descendez jamais à 1024.
• Hash algorithm : l’invite propose par défaut sha256, ce qui convient parfaitement ; conservez-le ou choisissez sha384 / sha512. Les options md5 et sha1 sont obsolètes, ne les sélectionnez donc pas.
• Common name : le FQDN que vous sécurisez, par exemple www.yourdomain.com. Ce champ est obligatoire.
• Use certificate default values : répondez n afin qu’Alteon vous demande l’Organization, la Locality, le State/Province et le Country, puis saisissez vos informations enregistrées. Répondez y uniquement si vous avez déjà défini ces valeurs par défaut dans le menu du référentiel de certificats.
• Validation period : si le générateur en demande une, elle ne s’applique qu’aux certificats auto-signés et est ignorée une fois que votre demande est signée par une autorité de certification publique ; la valeur par défaut convient donc.

Une fois la demande générée, exportez-la au format texte et copiez le bloc PEM :

/cfg/slb/ssl/certs/export

Aux invites, définissez le type de composant sur Certificate Signing Request (CSR), saisissez le même ID, et choisissez text afin que la CSR s’affiche pour que vous puissiez la copier. Enfin, validez la nouvelle clé et la demande dans la configuration :

apply
save

Collez la CSR copiée dans votre commande SSL et soumettez-la à l’autorité de certification. Conservez la clé et le futur certificat serveur sous le même ID afin qu’ils soient faciles à associer lors de l’installation du certificat signé.

Vérifiez la CSR avant de la soumettre

Il est utile de vérifier que la demande contient le bon domaine et la bonne organisation avant de passer la commande. Collez le bloc exporté dans notre décodeur de CSR en ligne pour relire le Common Name, la taille de clé et les champs du sujet qu’Alteon y a inscrits. Si quelque chose est incorrect, générez une nouvelle CSR sur l’appareil plutôt que de modifier le fichier : le texte de la demande est signé par sa clé privée, donc toute modification l’invalide.

Le générateur intégré d’Alteon ne capture qu’un seul Common Name et n’ajoute pas d’entrées Subject Alternative Name (SAN). Si vous avez besoin d’un certificat couvrant plusieurs noms d’hôte via SAN, préparez la demande en dehors de l’appareil avec notre générateur de CSR basé sur navigateur ou avec OpenSSL, puis importez la clé privée et le certificat signé dans le référentiel. Conservez la clé privée fournie par le générateur, car Alteon ne l’aura pas créée.

Après l’émission de votre certificat par la CA

Lorsque la CA valide la CSR, elle vous envoie par e-mail le certificat serveur signé ainsi que sa chaîne intermédiaire (CA). Importez le certificat serveur dans le référentiel sous le même ID que la demande afin qu’il soit associé à la clé privée existante, et importez le certificat CA intermédiaire comme entrée distincte. L’importation ne constitue que la moitié du travail sur Alteon : vous devez ensuite créer une politique SSL et lier à la fois cette politique et le certificat serveur au service virtuel HTTPS, étape qui met réellement le certificat en service. La procédure complète figure dans notre guide comment installer un certificat SSL sur Alteon. Une fois en production, vérifiez la chaîne et la date d’expiration avec notre SSL Checker.