Panduan ini menunjukkan kepada Anda cara membuat CSR (Certificate Signing Request) di Sophos Firewall dari konsol admin web. CSR adalah file yang dibutuhkan oleh Certificate Authority Anda untuk menerbitkan sertifikat SSL/TLS Anda, dan kunci privat yang sesuai dibuat di firewall pada saat yang sama dan tidak pernah keluar darinya.
Catatan tentang nama: Sophos XG Firewall diubah namanya menjadi Sophos Firewall pada tahun 2021, dimulai dengan Sophos Firewall OS (SFOS) v18.5 dan perangkat seri XGS. Sistem operasinya masih disebut SFOS. Langkah-langkah di bawah ini sesuai dengan rilis SFOS saat ini (v19, v20, dan v21); build v17.x yang lebih lama menggunakan tata letak yang sedikit berbeda tetapi mengikuti konsep yang sama.
Membuat CSR di Sophos Firewall
Anda juga dapat membuat CSR di luar perangkat menggunakan CSR Generator kami, tetapi kemudian Anda harus mengimpor kunci privat kembali ke Sophos sebagai file PKCS12 (.pfx/.p12) nantinya. Membuatnya langsung di firewall membuat kunci tetap berada di perangkat dan menghindari langkah tambahan tersebut.
Langkah 1: Buka halaman Certificates
Masuk ke konsol admin Sophos Firewall dan buka Certificates > Certificates, lalu klik Add.
Gunakan tab Certificates, bukan tab Certificate Authorities. Sertifikat server (leaf) Anda dan CSR-nya berada di bawah Certificates > Certificates. Tab Certificate Authorities hanya digunakan untuk mengimpor sertifikat CA (rantai kepercayaan), misalnya CA privat atau root/intermediate yang ingin Anda percayai oleh firewall.
Langkah 2: Pilih tindakan CSR
Untuk Action, pilih Generate certificate signing request (CSR). Opsi lainnya (Upload certificate dan Generate locally-signed certificate) digunakan untuk mengimpor sertifikat yang sudah diterbitkan atau untuk membuat sertifikat self-signed dari CA milik firewall itu sendiri, dan bukan itu yang Anda inginkan di sini.
Langkah 3: Isi detail sertifikat
Di bagian Certificate Details, lengkapi bidang-bidang berikut:
- Name: masukkan nama yang jelas dan mudah dikenali agar Anda dapat mengidentifikasi CSR (dan nantinya sertifikat) di firewall.
- Key type: pilih RSA untuk kompatibilitas terluas, atau Elliptic curve untuk kunci yang lebih kecil dan handshake yang lebih cepat jika CA Anda mendukungnya.
- Key length (RSA): pilih 2048. Ini adalah minimum yang akan ditandatangani oleh CA publik saat ini; 3072 atau 4096 dapat diterima jika kebijakan Anda mengharuskannya.
- Curve name (Elliptic curve): kurva P-256 atau P-384 adalah pilihan yang umum.
- Secure hash: pilih SHA-256. Apa pun yang lebih lemah (SHA-1, MD5) akan ditolak oleh CA publik.
Di bagian Subject Name Attributes, berikan detail organisasi Anda persis seperti yang tercantum dalam catatan resmi. CA publik memverifikasi hal ini terhadap registrasi bisnis untuk sertifikat OV dan EV, sehingga kesalahan ketik atau singkatan akan menyebabkan penundaan.
- Country name: pilih negara Anda dari menu tarik-turun (misalnya, Canada).
- State: tuliskan nama lengkap negara bagian, provinsi, atau wilayah tempat perusahaan terdaftar. Jangan disingkat (misalnya, British Columbia, bukan BC).
- Locality name: nama lengkap kota (misalnya, Vancouver).
- Organization name: nama hukum lengkap perusahaan yang memiliki domain (misalnya, Your Company LLC). Untuk sertifikat DV Anda dapat menggunakan nama pribadi, tetapi untuk OV/EV entitas hukumnya harus sesuai dengan catatan perusahaan.
- Organization unit name: opsional. CA semakin sering menghapus bidang ini dari sertifikat yang diterbitkan, jadi aman jika dikosongkan.
- Common name: nama domain yang memenuhi syarat penuh (FQDN) yang Anda amankan, misalnya vpn.yourdomain.com atau yourdomain.com. Untuk sertifikat wildcard, gunakan *.yourdomain.com.
- Email address: alamat kontak yang aktif. CA mungkin akan menghubungi alamat ini selama proses validasi.
Langkah 4: Tambahkan Subject Alternative Names (SAN)
Di bagian Subject Alternative Names (SAN), tambahkan setiap nama host atau alamat IP yang harus dicakup oleh sertifikat. Browser dan klien modern mengabaikan Common Name dan hanya mencocokkan berdasarkan SAN, sehingga SAN yang hilang adalah alasan paling umum mengapa sertifikat “berfungsi” di firewall tetapi menampilkan kesalahan ketidaksesuaian nama di browser.
- Ulangi nilai yang Anda gunakan pada Common Name sebagai entri SAN pertama. Sebagian besar CA publik mewajibkan hal ini.
- Tambahkan nama host lain yang Anda butuhkan (misalnya, portal.yourdomain.com, vpn.yourdomain.com) jika Anda memesan sertifikat multi-domain (SAN).
- Untuk wildcard, SAN dapat berupa *.yourdomain.com (dan biasanya yourdomain.com ditambahkan juga).
Pada build SFOS yang lebih lama yang tidak menampilkan bidang SAN, buka Advanced settings dan gunakan bidang Certificate ID sebagai gantinya, dengan tipe DNS dipilih untuk nama host.
Langkah 5: Simpan dan unduh CSR
Klik Save. Sophos Firewall membuat CSR dan kunci privat yang sesuai pada perangkat, dan entri baru muncul di daftar Certificates dengan CSR ditampilkan pada kolom Type.
Untuk mengunduh CSR, temukan entri Anda berdasarkan Name yang Anda berikan, lalu klik ikon download di bawah kolom Manage. Firewall akan menyimpan file .csr ke komputer Anda. Anda dapat membukanya dengan editor teks apa pun (Notepad, TextEdit, VS Code) untuk menyalin blok Base64, yang terlihat seperti ini:
-----BEGIN CERTIFICATE REQUEST-----
MIIC...
...
-----END CERTIFICATE REQUEST-----Sebelum mengirimkannya ke Certificate Authority, tempelkan blok tersebut ke CSR Decoder kami untuk memastikan Common Name, SAN, ukuran kunci, dan bidang organisasi sesuai dengan yang Anda maksudkan. CSR yang salah yang terdeteksi di sini akan menghemat permintaan penerbitan ulang nantinya.
Kirim CSR dan pasang sertifikat
Saat checkout (atau di akun CA Anda setelahnya), tempelkan seluruh blok Base64, termasuk baris BEGIN dan END, ke dalam bidang CSR. Setelah CA memvalidasi pesanan Anda dan menerbitkan sertifikat, Anda mengimpor file yang diterbitkan kembali ke Sophos Firewall di bawah Certificates > Certificates > Add > Upload certificate. Prosedur impor lengkap ada di panduan pendamping kami tentang cara memasang sertifikat SSL di Sophos Firewall.
Penting: karena kunci privat dibuat di firewall ini, pasang sertifikat yang diterbitkan pada perangkat yang sama. Jika Anda berpindah ke firewall yang berbeda, buat ulang CSR di sana atau lakukan rekey sertifikat, jika tidak sertifikat tersebut tidak akan memiliki kunci yang sesuai di perangkat baru.
Pertanyaan yang Sering Diajukan
Ya. Sophos XG Firewall diubah namanya menjadi Sophos Firewall pada tahun 2021, bersamaan dengan peluncuran perangkat seri XGS dan Sophos Firewall OS (SFOS) v18.5. Ini adalah lini produk yang sama; sistem operasinya masih disebut SFOS. Perangkat lama dengan firmware sebelumnya adalah platform yang sama dengan nama sebelumnya.
Di konsol admin, buka Certificates > Certificates dan klik Add, lalu atur Action ke Generate certificate signing request (CSR). Jangan gunakan tab Certificate Authorities. Tab tersebut hanya digunakan untuk sertifikat CA (rantai kepercayaan).
Kunci tersebut tetap berada di firewall. Sophos Firewall tidak memungkinkan Anda mengunduh kunci privat dari konsol admin; itu memang disengaja. Ketika CA mengembalikan sertifikat yang telah ditandatangani, Anda mengunggahnya kembali ke firewall yang sama di bawah Certificates > Certificates > Add > Upload certificate, dan perangkat akan memasangkannya dengan kunci yang telah menunggu di perangkat tersebut.
Tidak, tidak dengan aman. Karena kunci privat dibuat di perangkat dan tidak dapat diekspor melalui konsol admin, CSR dari satu Sophos Firewall hanya dapat digunakan pada firewall yang sama. Jika Anda memerlukan sertifikat pada perangkat yang berbeda, buat CSR di luar perangkat menggunakan CSR Generator kami (yang memberikan Anda baik CSR maupun kunci privat sebagai file), atau lakukan rekey sertifikat dengan CA Anda dan mulai prosesnya di firewall target.
Hemat 10% untuk Sertifikat SSL saat memesan hari ini!
Penerbitan cepat, enkripsi kuat, kepercayaan peramban 99,99%, dukungan khusus, dan jaminan uang kembali 25 hari. Kode kupon: SAVE10
