Cara Membuat CSR di FortiGate

Panduan ini menunjukkan kepada Anda cara membuat CSR (Certificate Signing Request) di firewall Fortinet FortiGate yang menjalankan FortiOS.

Anda membuat permintaan di antarmuka web pada System > Certificates > Create/Import > Generate CSR, isi detail organisasi Anda, lalu unduh file CSR untuk dikirim ke Certificate Authority Anda.

Private key dibuat pada saat yang sama dan tetap berada di FortiGate: kunci ini tidak diekspor bersama CSR, sehingga Anda harus mengimpor kembali sertifikat yang sudah ditandatangani ke perangkat yang sama.

Membuat CSR di FortiGate

Jika Anda sudah membuat CSR dan menerima file yang sudah ditandatangani dari CA, lewati bagian ini dan langsung menuju cara menginstal sertifikat SSL di FortiGate. Jika belum, ikuti langkah-langkah di bawah ini. Tampilan layar sesuai dengan FortiOS 7.4 dan 7.6; versi 7.0 dan 6.x yang lebih lama menggunakan jalur yang sama dengan label yang sedikit berbeda.

Langkah 1: Tampilkan menu Certificates (jika perlu)

Pada banyak model FortiGate, layar manajemen sertifikat tersembunyi secara default. Jika Anda tidak melihat System > Certificates di navigasi kiri, masuk ke antarmuka web FortiGate, buka System > Feature Visibility, aktifkan Certificates di bawah fitur tambahan, dan klik Apply. Entri Certificates kini akan muncul di bawah System.

Langkah 2: Buka jendela Generate CSR

• Masuk ke antarmuka web FortiGate Anda (konsol manajemen).
• Buka System > Certificates.
• Klik Create/Import di bagian atas halaman, lalu pilih Generate CSR. Jendela Generate Certificate Signing Request akan terbuka.

Langkah 3: Isi permintaan

Lengkapi formulir tersebut. Kolom Optional Information sebenarnya diwajibkan oleh setiap CA publik, meskipun FortiOS memberi label “opsional”.

• Certificate Name: nama yang mudah dikenali untuk mengidentifikasi CSR ini dan private key-nya di FortiGate, misalnya yourdomain.com 2026. Ini hanya label internal; tidak harus sama dengan nama domain.
• Subject Information > ID Type: pilih Domain Name. Opsi lainnya (Host IP, E-Mail) tidak digunakan untuk sertifikat SSL publik standar.
• Domain Name: nama domain lengkap yang memenuhi syarat (FQDN) yang ingin Anda amankan, misalnya www.yourdomain.com. Untuk sertifikat wildcard, tambahkan tanda bintang di depan domain utama, misalnya *.yourdomain.com. Nilai ini akan menjadi Common Name sertifikat.
• Subject Alternative Name: cantumkan setiap nama host yang harus dicakup oleh sertifikat. FortiOS mengharapkan setiap entri disertai awalan jenisnya dan dipisahkan dengan koma, misalnya DNS:www.yourdomain.com, DNS:yourdomain.com. Ulangi Domain Name dari kolom sebelumnya sebagai entri SAN pertama, karena CA publik memvalidasi dan menampilkan sertifikat berdasarkan daftar SAN, bukan Common Name.
• Optional Information > Organization: nama legal lengkap perusahaan Anda, misalnya Your Company LLC. Biarkan kosong hanya untuk sertifikat Domain Validated (DV); sertifikat Organization Validated (OV) dan Extended Validation (EV) memerlukan nama legal yang terdaftar.
• Organization Unit: biarkan kosong. CA publik tidak lagi menyertakan kolom ini dalam sertifikat yang diterbitkan dan sebagian besar mengabaikannya.
• Locality (City): nama lengkap kota tempat organisasi Anda terdaftar, misalnya Honolulu.
• State / Province: nama lengkap negara bagian atau wilayah, misalnya Hawaii. Jangan disingkat.
• Country / Region: pilih negara Anda dari menu drop-down. FortiOS akan menuliskan kode ISO dua huruf ke dalam permintaan.
• E-Mail: alamat email kontak untuk organisasi Anda. Beberapa CA menggunakannya untuk korespondensi validasi.
• Key Type: RSA untuk kompatibilitas paling luas, atau Elliptic Curve jika CA dan klien Anda mendukung ECDSA.
• Key Size: 2048 Bit adalah ukuran minimum yang diterima CA publik untuk RSA; Anda dapat memilih 3072 Bit atau 4096 Bit untuk key yang lebih besar. Untuk key Elliptic Curve, pilih secp256r1 atau yang lebih kuat.
• Enrollment Method: pilih File Based. Gunakan Online SCEP atau Online EST hanya jika organisasi Anda menjalankan layanan pendaftaran otomatis yang memerlukannya.

Langkah 4: Buat permintaan

Periksa kembali setiap kolom, lalu klik OK. FortiOS akan membuat CSR dan private key yang sesuai di perangkat tersebut. Entri baru akan muncul dalam daftar sertifikat dengan status PENDING, yang menandakan bahwa key sedang menunggu sertifikat yang ditandatangani dari CA.

Unduh file CSR

• Masih di System > Certificates, buka tampilan Local Certificates.
• Pilih entri pending yang baru Anda buat.
• Klik Download pada toolbar dan simpan file .csr ke komputer Anda.

Buka file tersebut menggunakan editor teks biasa seperti Notepad. Isinya akan terlihat seperti ini:

-----BEGIN CERTIFICATE REQUEST-----
MIIC...your encoded request...AB==
-----END CERTIFICATE REQUEST-----

Salin seluruh blok tersebut, termasuk baris —–BEGIN CERTIFICATE REQUEST—– dan —–END CERTIFICATE REQUEST—– serta semua yang ada di antaranya. Setiap penanda menggunakan lima tanda hubung di kedua sisinya, tanpa spasi dan tanpa karakter tambahan. Tempelkan seluruh blok tersebut ke kotak CSR pada halaman pemesanan penyedia SSL Anda.

Jangan hapus entri pending selama Anda menunggu sertifikat yang ditandatangani. FortiGate membutuhkan entri tersebut untuk memasangkan sertifikat yang diterbitkan dengan private key-nya saat Anda mengimpornya nanti.

Periksa CSR sebelum Anda mengirimkannya

Ada baiknya memastikan permintaan tersebut berisi detail domain dan organisasi yang benar sebelum melakukan pemesanan. Tempelkan isi file tersebut ke CSR decoder online kami untuk melihat Common Name, entri SAN, ukuran key, dan kolom organisasi yang ditulis FortiGate ke dalam permintaan tersebut. Jika ada yang salah, buat CSR baru di FortiGate daripada mengedit filenya: perubahan apa pun pada teks akan membuat tanda tangannya tidak valid.

Jika Anda lebih memilih menyiapkan permintaan melalui browser, Anda juga dapat membuatnya dengan CSR Generator online kami. Perlu diketahui bahwa generator tersebut membuat private key di browser Anda, jadi simpan key tersebut sendiri dan gabungkan dengan sertifikat yang diterbitkan menjadi file .p12 sebelum mengimpornya ke FortiGate.

Setelah CA menerbitkan sertifikat Anda

Setelah CA memvalidasi CSR, mereka akan mengirimkan email berisi sertifikat yang sudah ditandatangani beserta rantai (chain) CA perantaranya, biasanya dalam bentuk arsip ZIP. Unduh dan ekstrak arsip tersebut di komputer Anda. Kembali ke System > Certificates, pilih entri pending yang sama, dan gunakan Import untuk memuat sertifikat yang sudah ditandatangani. Mengimpor ke entri pending yang sudah ada akan menjaga pasangan key tetap sesuai, sehingga status akan berubah dari PENDING menjadi OK. Prosedur lengkapnya ada di panduan kami tentang cara menginstal sertifikat SSL di FortiGate.