Comment installer un certificat SSL sur Checkpoint VPN

Ce tutoriel vous montre comment installer un certificat SSL sur une passerelle VPN Check Point et comment générer la CSR (Certificate Signing Request) nécessaire.

Check Point fonctionne un peu différemment de la plupart des appareils : le certificat est lié à l’objet Security Gateway et appliqué via le client de gestion, et la chaîne de la CA émettrice doit être approuvée avant que le certificat du serveur ne soit validé.

Check Point a fait évoluer ses outils de gestion au fil des années. Sur R80, R81.10, R81.20 et R82 (les versions actuellement prises en charge), vous gérez tout depuis SmartConsole. Sur les déploiements hérités R77.x et antérieurs, vous utilisez le client autonome SmartDashboard. Ce guide présente d’abord le flux de travail actuel avec SmartConsole, et conserve les étapes de l’ancien SmartDashboard à la fin pour les passerelles plus anciennes.

Avant de commencer, deux définitions rapides. Un certificat racine est émis par une Autorité de Certification de confiance et se trouve au sommet de la chaîne de confiance ; il est intégré dans le magasin de racines de confiance du navigateur. Un certificat intermédiaire est signé par cette racine et c’est lui qui émet réellement votre certificat final (serveur). L’intermédiaire ajoute une couche de sécurité, car la signature quotidienne ne se fait jamais directement depuis la racine. Check Point a besoin des deux pour pouvoir construire et valider la chaîne complète.

Étape 1 : Obtenir les certificats racine et intermédiaire

Avec la plupart des plateformes, vous générez d’abord la CSR et recevez ensuite tous les fichiers, une fois que la CA a validé votre demande. Check Point est plus flexible : vous pouvez approuver la chaîne de la CA en premier, ce qui rend l’installation du certificat final du serveur plus simple. Demandez à votre fournisseur SSL ou à votre CA les certificats racine et intermédiaire au format X.509 / PEM (Base64). Ce sont des certificats publics, donc n’importe quelle CA peut les fournir sur demande, et ils sont également publiés dans le référentiel de la CA.

Un certificat PEM est un bloc de texte brut qui commence par —–BEGIN CERTIFICATE—– et se termine par —–END CERTIFICATE—–. Enregistrez chaque certificat dans son propre fichier texte avec l’extension .crt. Vous pouvez créer les fichiers dans n’importe quel éditeur de texte brut tel que Notepad. N’utilisez pas de traitement de texte, qui pourrait ajouter un formatage invisible corrompant le fichier.

Remarque : certaines CA utilisent deux certificats intermédiaires pour une compatibilité plus large. Enregistrez chacun d’eux dans un fichier .crt distinct et ajoutez-les individuellement.

Étape 2 : Approuver les certificats racine et intermédiaire

Sur les versions actuelles basées sur SmartConsole, vous n’avez pas besoin d’importer la chaîne via une boîte de dialogue distincte comme l’exigeait l’ancien SmartDashboard. À la place, vous regroupez la chaîne complète avec le certificat du serveur plus tard, à l’étape 4, afin que la passerelle reçoive le certificat et ses émetteurs dans un seul fichier. Gardez les fichiers .crt de l’étape 1 à portée de main. Vous en aurez besoin pour assembler ce lot.

Si vous utilisez également ces certificats ailleurs (par exemple pour valider des pairs tiers dans un VPN site à site), vous pouvez les ajouter en tant que CA de confiance dans SmartConsole sous Security Policies > Access Tools > Trusted CAs, puis Install Policy. Pour le certificat du portail Mobile Access / VPN traité ici, regrouper la chaîne à l’étape 4 est l’approche recommandée.

Vous utilisez une passerelle héritée R77.x avec le client autonome SmartDashboard ? Consultez la procédure SmartDashboard héritée à la fin de ce tutoriel, qui importe explicitement les CA racine et intermédiaire sous Servers > Trusted CAs.

Étape 3 : Générer la CSR sur Check Point

Sur R80 et versions ultérieures, Check Point génère la CSR et la clé privée du certificat du serveur du portail en ligne de commande sur la passerelle, à l’aide de son wrapper OpenSSL intégré. Connectez-vous à la passerelle via SSH, passez en mode Expert, puis exécutez la commande suivante en remplaçant les noms de fichiers par les vôtres :

cpopenssl req -new -out /home/admin/yourwebsite.csr -keyout /home/admin/yourwebsite.key -config $CPDIR/conf/openssl.cnf

OpenSSL vous demande un mot de passe pour protéger la clé privée, puis les champs du sujet du certificat. Remplissez-les avec soin. Le Common Name doit être le nom de domaine complet (FQDN) que les utilisateurs saisissent pour accéder au VPN/portail :

• Common Name (CN), le FQDN que vous souhaitez sécuriser, par exemple vpn.yourwebsite.com. Pour un certificat wildcard, placez un astérisque devant le domaine, par exemple *.yourwebsite.com.
• Organizational Unit (OU), le service qui demande le certificat, par exemple IT ou Administration Web.
• Organization (O), le nom légal complet de votre entreprise, par exemple GPI Holding LLC.
• Locality (L), le nom complet de la ville où votre entreprise est enregistrée, par exemple San Jose.
• State (ST), le nom complet de l’État ou de la région, par exemple California.
• Country (C), le code pays à deux lettres, par exemple US. Vous pouvez trouver la liste complète des codes pays en ligne.

Le fichier CSR obtenu contient vos informations dans une seule chaîne de sujet (DN) qui ressemble à ceci :

CN=vpn.yourwebsite.com, OU=IT, O=Your Company Name, L=City, ST=State, C=Country

Ouvrez le fichier .csr dans un éditeur de texte et copiez tout son contenu, y compris les lignes —–BEGIN CERTIFICATE REQUEST—– et —–END CERTIFICATE REQUEST—–. Vous soumettez cette CSR lors de votre commande SSL. Conservez le fichier de clé privée .key correspondant en lieu sûr sur la passerelle. Vous ne devez pas le perdre, et vous ne devez jamais le partager.

Astuce : si vous préférez ne pas toucher à la ligne de commande, vous pouvez générer la CSR avec notre Générateur de CSR gratuit et conserver la clé privée qu’il produit. Dans les deux cas, la CSR est ce dont votre CA a besoin pour émettre le certificat.

Étape 4 : Installer le certificat SSL sur Check Point VPN

Une fois la validation terminée, votre CA vous envoie par e-mail le certificat de serveur émis, généralement dans une archive ZIP accompagnée de la chaîne. Pour l’importer via SmartConsole, vous avez besoin de tout regrouper dans un seul fichier .p12 (PKCS#12) : le certificat du serveur, sa clé privée, et les certificats intermédiaire et racine. Si vous disposez des éléments sous forme de fichiers séparés, combinez-les avec OpenSSL de la passerelle en exécutant ceci en mode Expert :

cpopenssl pkcs12 -export -out /home/admin/yourwebsite.p12 -inkey /home/admin/yourwebsite.key -in /home/admin/yourwebsite.crt -certfile /home/admin/chain.crt

Ici, yourwebsite.crt est votre certificat de serveur, yourwebsite.key est la clé privée de l’étape 3, et chain.crt correspond aux certificats intermédiaire et racine concaténés dans un seul fichier (intermédiaire en premier, puis racine). OpenSSL vous demande de définir un mot de passe d’exportation ; vous devrez le retaper lors de l’importation. Une fois le fichier .p12 prêt, installez-le :

1. Ouvrez SmartConsole et allez dans Gateways & Servers dans le menu de navigation de gauche.
2. Double-cliquez sur votre objet Security Gateway (ou cluster) pour le modifier.
3. Dans le volet de gauche, ouvrez le module qui dessert votre portail : Mobile Access > Portal Settings pour le portail VPN Mobile Access, ou Platform Portal pour le portail de gestion Gaia.
4. Dans la section Certificate, cliquez sur Import or Replace.
5. Naviguez jusqu’à votre fichier .p12, saisissez le mot de passe d’exportation que vous avez défini, et confirmez. SmartConsole lit le certificat, la clé et la chaîne à partir du fichier.
6. Cliquez sur OK pour fermer l’objet de la passerelle.
7. Cliquez sur Install Policy et poussez la politique vers la passerelle pour que le nouveau certificat prenne effet.

Félicitations, vous avez installé un certificat SSL sur votre VPN Check Point. Une fois la politique installée, la passerelle présente le nouveau certificat sur l’URL du portail.

Méthode héritée : SmartDashboard (R77.x et versions antérieures)

Si vous utilisez encore une passerelle plus ancienne gérée par le client autonome SmartDashboard, le certificat est généré et installé entièrement dans l’interface graphique. Tout d’abord, importez la chaîne de la CA :

1. Connectez-vous à SmartDashboard. Dans l’onglet Servers and OPSEC Applications, allez dans Servers > Trusted CAs, faites un clic droit et choisissez New CA > Trusted.
2. Dans l’onglet General de la fenêtre Certificate Authority Properties, saisissez un Name et un Comment facultatif, puis continuez.
3. Dans l’onglet OPSEC PKI, sous Retrieve CRL from, ne laissez cochée que l’option HTTP Server(s).
4. Sous Certificate, à côté de Get the CA certificate from a file, cliquez sur Get, naviguez jusqu’à votre fichier root.crt, puis cliquez sur OK.
5. Répétez les étapes précédentes pour votre fichier intermediate.crt. Ouvrez ensuite Servers > Trusted CAs et confirmez que les deux CA sont listées.

Ensuite, générez la CSR et installez le certificat :

1. Développez Network Objects, faites un clic droit sur votre passerelle/cluster Check Point, et choisissez Edit.
2. Dans Gateway Cluster Properties, sélectionnez VPN dans le volet de gauche et cliquez sur Add.
3. Saisissez un Certificate Nickname, et dans le menu déroulant CA to enroll from, sélectionnez la CA intermédiaire que vous avez importée précédemment. Cliquez sur Generate, puis sur Yes.
4. Dans le champ DN de la fenêtre Generate Certificate Request, saisissez vos informations sous forme d’une seule chaîne séparée par des virgules, par exemple CN=vpn.yourwebsite.com, OU=IT, O=Your Company Name, L=City, ST=State, C=Country, puis cliquez sur OK.
5. Revenez dans VPN, cliquez sur View pour voir la CSR, puis sur Save to File pour l’exporter. Soumettez cette CSR à votre CA.
6. Lorsque le certificat signé arrive, modifiez à nouveau la passerelle, sélectionnez VPN, choisissez le même nom, et cliquez sur Complete. Naviguez jusqu’à votre certificat de serveur, cliquez sur Open, vérifiez les détails, puis cliquez sur OK. Ensuite, installez la politique.

Quelle que soit la méthode utilisée, anticipez : l’ancien client SmartDashboard de Check Point n’est plus disponible sur les versions actuelles, donc si vous êtes encore sur R77.x, considérez une mise à niveau vers une version prise en charge comme faisant partie du cycle de vie de votre certificat.

Testez votre installation SSL

Même après une installation propre, des lacunes de configuration telles qu’un intermédiaire manquant ou un protocole faible peuvent subsister. Effectuez un diagnostic rapide pour vous assurer que la passerelle diffuse la chaîne complète et une configuration TLS moderne. La vérification la plus rapide consiste à ouvrir l’URL du VPN/portail dans un navigateur et à inspecter le cadenas, mais un scanner dédié est plus approfondi.

Utilisez notre vérificateur SSL gratuit pour générer un rapport instantané sur votre certificat, votre chaîne et les protocoles pris en charge. Si vous disposez d’OpenSSL sur votre propre machine, vous pouvez également interroger la passerelle directement. Remplacez par l’hôte et le port de votre portail (le portail Mobile Access écoute généralement sur le 443) :

echo | openssl s_client -connect vpn.yourwebsite.com:443 -servername vpn.yourwebsite.com 2>/dev/null | openssl x509 -noout -issuer -subject -dates

Si le certificat est actif, cette commande affiche son émetteur, son sujet et ses dates de validité. Une chaîne complète et un FQDN correspondant signifient que votre installation est prête.

Où acheter le meilleur certificat SSL pour Check Point VPN ?

Lors de l’achat d’un certificat SSL, tenez compte de trois éléments : le type de validation, le prix et le support. Chez SSL Dragon, nous proposons toute la gamme de certificats SSL à des prix compétitifs, avec un service client cinq étoiles. Nos certificats sont signés par des Autorités de Certification reconnues, ce qui les rend compatibles avec la majorité des appareils VPN, y compris Check Point. Que vous ayez besoin d’un certificat de Validation de Domaine économique ou d’un produit à Validation Étendue haut de gamme, nous avons ce qu’il vous faut.

Les prix de SSL Dragon sont parmi les plus compétitifs du marché, et notre équipe de support dédiée est très bien notée par nos clients existants.

Vous ne savez pas quel certificat choisir ? Utilisez notre outil SSL Wizard pour trouver le produit idéal pour votre déploiement Check Point.

Questions fréquemment posées