Cara Membuat CSR di NetScaler

Panduan ini menunjukkan kepada Anda cara membuat CSR (Certificate Signing Request) di NetScaler, load balancer dan application delivery controller yang sebelumnya dijual dengan nama Citrix ADC. Anda akan membuat private key RSA, menyusun CSR dengan entri Distinguished Name dan Subject Alternative Name yang sesuai, menyalin permintaan yang sudah dienkode, dan mengirimkannya ke Certificate Authority Anda. Alur yang sama berlaku di GUI NetScaler pada versi 14.1 LTS saat ini maupun pada 13.1, yang mencapai akhir pemeliharaan pada 15 September 2026 dan akhir masa pakai pada 15 September 2027; bagian CLI opsional di akhir panduan berjalan pada rilis modern apa pun.

Catatan tentang nama: produk ini awalnya bernama NetScaler, kemudian direbranding menjadi Citrix ADC pada tahun 2018, lalu diganti kembali menjadi NetScaler pada Oktober 2022 ketika Cloud Software Group memisahkan NetScaler sebagai merek tersendiri. Anda mungkin masih melihat “Citrix ADC” pada firmware, menu, dan dokumentasi lama; langkah-langkah CSR di bawah ini identik untuk kedua nama tersebut.

Masuk ke perangkat NetScaler (MPX, SDX, VPX, atau CPX) sebagai pengguna dengan hak untuk menulis ke /nsconfig/ssl/, lalu ikuti langkah-langkah berikut secara berurutan.

Langkah 1: Membuat private key RSA

NetScaler menyimpan private key sebagai file di /nsconfig/ssl/ dan mereferensikannya berdasarkan nama saat Anda membuat CSR dan, nantinya, saat memasang sertifikat yang diterbitkan. Buat key terlebih dahulu:

• Di GUI, buka Configuration > Traffic Management > SSL > SSL Files.
• Buka tab SSL Keys dan klik Create RSA Key.

Isi jendela Create RSA Key:

• Key Filename: nama untuk file key, misalnya yourdomain-2026.key. Secara default, NetScaler menulisnya ke /nsconfig/ssl/.
• Key Size (bits): 2048 adalah nilai minimum saat ini yang diterima oleh setiap CA publik. Pilih 3072 atau 4096 hanya jika kebijakan keamanan Anda mengharuskan key yang lebih besar; konsekuensinya adalah handshake TLS yang sedikit lebih berat.
• Public Exponent Value: F4 (0x10001), nilai standar yang digunakan oleh hampir semua sertifikat RSA di web.
• Key Format: PEM.
• PEM Encoding Algorithm: biarkan kosong untuk key yang tidak dienkripsi. Menu dropdown menawarkan AES 256, DES, dan DES3; AES 256 adalah satu-satunya pilihan modern dari ketiganya, karena DES dan DES3 adalah algoritma lama. Apa pun yang Anda pilih, NetScaler akan mengharuskan Anda memasukkan (dan memasukkan ulang) frasa sandi setiap kali reboot dan setiap kali Anda mereferensikan key tersebut, yang jarang sepadan pada perangkat yang Anda kelola sendiri. Biarkan kosong kecuali kebijakan Anda menyatakan sebaliknya.
• PEM Passphrase dan Confirm PEM Passphrase: hanya diperlukan jika Anda memilih salah satu algoritma enkripsi di atas.

Klik OK, lalu Close. Key kini ada di /nsconfig/ssl/ pada perangkat dan siap dikaitkan dengan CSR.

Jika Anda lebih menyukai key ECDSA (lebih kecil, lebih cepat, dan didukung di setiap browser modern saat ini), gunakan CLI: create ssl ecdsakey yourdomain-2026.key -curve P_256. ECDSA P-256 adalah pilihan umum; P-384 jika Anda menginginkan kurva yang lebih besar.

Langkah 2: Membuka dialog Create CSR

Masih di bawah Configuration > Traffic Management > SSL > SSL Files, buka tab CSRs dan klik Create Certificate Signing Request (CSR). Jendela Create Certificate Signing Request (CSR) akan terbuka.

Langkah 3: Mengisi kolom file dan key

• Request File Name: nama untuk file CSR, misalnya yourdomain-2026.csr. Secara default, NetScaler menulisnya ke /nsconfig/ssl/.
• Key Filename: klik Browse, alihkan dropdown sumber ke Appliance, dan pilih key yang Anda buat pada Langkah 1 (misalnya yourdomain-2026.key). Klik Select, lalu Open.
• Key Format: PEM.
• PEM Passphrase (For Encrypted Key): hanya jika key RSA memiliki frasa sandi yang ditetapkan. Jika tidak, biarkan kosong.
• Digest Method: pilih SHA256. SHA-1 sudah usang dan ditolak oleh setiap CA publik; jangan memilihnya.

Langkah 4: Mengisi kolom Distinguished Name

Gunakan hanya karakter ASCII standar di setiap kolom; huruf non-Latin atau karakter dengan aksen akan membuat permintaan gagal:

• Country: pilih kode negara ISO dua huruf tempat organisasi Anda terdaftar (misalnya US, GB, DE).
• State or Province: nama lengkap negara bagian atau provinsi (misalnya Washington, bukan WA).
• Organization Name: nama resmi lengkap perusahaan Anda, sesuai dengan yang terdaftar. Diperlukan untuk sertifikat OV dan EV. Untuk sertifikat Domain Validation (DV), kolom ini diabaikan, sehingga placeholder singkat sudah cukup.
• Organization Unit: label departemen seperti IT. CA/Browser Forum telah menghapus atribut ini secara bertahap untuk sertifikat publik, jadi biarkan kosong jika formulir mengizinkannya.
• City or Locality: nama lengkap kota tempat organisasi Anda terdaftar (misalnya Seattle, bukan SEA).
• Common Name: nama domain yang sepenuhnya berkualifikasi (FQDN) yang ingin Anda amankan, misalnya www.example.com. Untuk sertifikat wildcard, tambahkan tanda bintang di depan domain apex, misalnya *.example.com.
• Email Address: opsional. CA publik tidak lagi menggunakan ini untuk penerbitan SSL/TLS; Anda dapat membiarkannya kosong.
• Challenge Password dan Company Name: atribut lama yang opsional. CA publik mengabaikan keduanya; biarkan kosong.

Langkah 5: Menambahkan Subject Alternative Name (SAN)

Browser dan klien modern (Chromium, Firefox, Safari, .NET, Java, Go) hanya memvalidasi nama host terhadap ekstensi Subject Alternative Name; Common Name sudah tidak digunakan lagi untuk keputusan kepercayaan sejak 2017. CA publik menyalin CN ke dalam entri SAN secara otomatis untuk pesanan dengan satu nama, sehingga permintaan yang hanya berisi CN tetap dapat diterbitkan, tetapi jika Anda memerlukan beberapa nama host dalam satu sertifikat (misalnya example.com dan www.example.com, atau sertifikat multi-domain) Anda harus menambahkannya secara eksplisit.

• Buka bagian Subject Alternative Name (SAN) pada dialog.
• Tambahkan satu entri untuk setiap nama host, diawali dengan DNS:, misalnya DNS:www.example.com dan DNS:example.com.
• Untuk akses berbasis IP (jarang digunakan pada sertifikat publik), gunakan awalan IP: sebagai gantinya, misalnya IP:192.0.2.10. CA publik hanya menerbitkan sertifikat untuk IP yang dapat mereka validasi. NetScaler mendokumentasikan satu catatan penting di sini: perangkat hanya memproses nilai SAN berbasis DNS, sehingga entri IP tetap ikut dalam CSR dan pada sertifikat yang diterbitkan, tetapi perangkat tidak menggunakannya saat mencocokkan sertifikat dengan permintaan yang masuk.

Jika kolom Subject Alternative Name (SAN) tidak muncul pada versi Anda, versi CLI dari perintah tersebut selalu menyediakannya di setiap rilis (lihat alternatif CLI di akhir panduan ini).

Langkah 6: Membuat CSR

Periksa kembali setiap kolom, lalu klik Create (versi lama: OK). Klik Close. NetScaler menulis CSR ke /nsconfig/ssl/ pada perangkat dan menyimpan private key yang sesuai di sampingnya.

Langkah 7: Menyalin CSR dan mengirimkannya ke CA Anda

• Buka Configuration > Traffic Management > SSL.
• Pada halaman utama, di bawah Tools, klik Manage Certificates / Keys / CSRs.
• Temukan file yourdomain-2026.csr Anda dalam daftar dan klik View.

CSR adalah blok teks base64 yang tampak seperti ini:

-----BEGIN CERTIFICATE REQUEST-----
MIIDXjCCAkYCAQAwgZQxCzAJBgNVBAYTAlVTMRMwEQYDVQQIDApXYXNoaW5ndG9u
... (many lines of base64) ...
-----END CERTIFICATE REQUEST-----

Pilih seluruh blok, termasuk baris -----BEGIN CERTIFICATE REQUEST----- dan -----END CERTIFICATE REQUEST-----, salin, dan tempelkan ke kolom CSR pada formulir pemesanan Anda. Tunggu hingga CA memvalidasi permintaan tersebut dan menerbitkan sertifikat. Setelah file SSL tiba di kotak masuk Anda, ikuti panduan cara memasang sertifikat SSL di NetScaler untuk menyelesaikan penerapan.

Memeriksa CSR sebelum mengirimkannya (opsional)

Ada baiknya mengonfirmasi Common Name, entri SAN, dan ukuran key sebelum mengirimkan permintaan ke CA Anda. Tempelkan isi permintaan tersebut ke CSR decoder milik SSL Dragon untuk membaca kembali setiap kolomnya. Pastikan Common Name sesuai dengan nama host yang akan digunakan oleh klien dan bahwa setiap nama yang diperlukan muncul di daftar Subject Alternative Name. Kesalahan pada tahap ini murah untuk diperbaiki; kesalahan setelah penerbitan berarti harus menerbitkan ulang.

Membuat CSR dari CLI (opsional)

Jika Anda lebih memilih baris perintah (atau versi Anda menyembunyikan kolom SAN di GUI), sambungkan ke perangkat melalui SSH dan jalankan perintah yang setara. Gantilah nama dan nilai kolom dengan milik Anda sendiri:

create ssl rsakey /nsconfig/ssl/yourdomain-2026.key 2048 -exponent F4

create ssl certReq /nsconfig/ssl/yourdomain-2026.csr 
  -keyFile /nsconfig/ssl/yourdomain-2026.key 
  -countryName US 
  -stateName Washington 
  -organizationName "Example Inc" 
  -localityName Seattle 
  -commonName www.example.com 
  -subjectAltName "DNS:www.example.com DNS:example.com" 
  -digestMethod SHA256

Catatan mengenai nilai-nilai tersebut:

• Tanda sambungan baris () hanya untuk memudahkan pembacaan; Anda dapat menjalankan perintah create ssl certReq dalam satu baris saja jika Anda mau.
• -subjectAltName menerima satu string dalam tanda kutip dengan entri yang dipisahkan spasi; formatnya adalah DNS:hostname (atau IP:address).
• Untuk key ECDSA, ganti baris create ssl rsakey dengan create ssl ecdsakey /nsconfig/ssl/yourdomain-2026.key -curve P_256 dan biarkan sisa perintahnya tetap sama.
• Untuk membaca kembali CSR di prompt, jalankan cat /nsconfig/ssl/yourdomain-2026.csr dari shell perangkat.