Cara Menginstal Sertifikat SSL di Checkpoint VPN

Tutorial ini menunjukkan kepada Anda cara menginstal sertifikat SSL pada gateway Check Point VPN dan cara membuat CSR (Certificate Signing Request) yang dibutuhkannya.

Check Point bekerja sedikit berbeda dari kebanyakan perangkat: sertifikat terikat pada objek Security Gateway dan diterapkan melalui klien manajemen, serta rantai CA penerbit harus dipercaya terlebih dahulu sebelum sertifikat server dapat divalidasi.

Check Point telah mengubah alat manajemennya selama bertahun-tahun. Pada R80, R81.10, R81.20, dan R82 (versi yang saat ini didukung dalam produksi) Anda mengelola semuanya dari SmartConsole. Pada implementasi lama R77.x dan yang lebih tua Anda menggunakan klien mandiri SmartDashboard. Panduan ini memulai dengan alur kerja SmartConsole yang saat ini digunakan dan menyimpan langkah-langkah SmartDashboard lama di bagian akhir untuk gateway yang lebih tua.

Sebelum melangkah lebih jauh, ada dua definisi singkat. Root certificate diterbitkan oleh Certificate Authority yang terpercaya dan berada di puncak rantai kepercayaan; sertifikat ini tersimpan dalam trusted root store bawaan browser. Intermediate certificate ditandatangani oleh root tersebut dan sertifikat inilah yang sebenarnya menerbitkan sertifikat end-entity (server) Anda. Intermediate menambahkan lapisan keamanan karena penandatanganan sehari-hari tidak pernah dilakukan langsung dari root. Check Point membutuhkan keduanya agar dapat membangun dan memvalidasi rantai lengkap.

Langkah 1: Dapatkan sertifikat root dan intermediate

Pada kebanyakan platform, Anda membuat CSR terlebih dahulu dan menerima semua file setelahnya, setelah CA memvalidasi permintaan Anda. Check Point lebih fleksibel: Anda dapat mempercayai rantai CA terlebih dahulu, yang membuat instalasi sertifikat server final menjadi lebih rapi. Mintalah kepada vendor SSL atau CA Anda sertifikat CA root dan intermediate dalam format X.509 / PEM (Base64). Sertifikat ini bersifat publik, sehingga CA mana pun dapat menyediakannya atas permintaan, dan sertifikat ini juga dipublikasikan di repositori CA.

Sertifikat PEM adalah blok teks biasa yang dimulai dengan —–BEGIN CERTIFICATE—– dan diakhiri dengan —–END CERTIFICATE—–. Simpan setiap sertifikat dalam file teks tersendiri dengan ekstensi .crt. Anda dapat membuat file tersebut di editor teks biasa apa pun seperti Notepad. Jangan gunakan pengolah kata, karena dapat menambahkan format tersembunyi yang merusak file.

Catatan: beberapa CA menggunakan dua sertifikat intermediate untuk kompatibilitas yang lebih luas. Simpan masing-masing sebagai file .crt terpisah dan tambahkan satu per satu.

Langkah 2: Percayai sertifikat root dan intermediate

Pada versi berbasis SmartConsole saat ini, Anda tidak perlu mengimpor rantai melalui dialog terpisah seperti yang diharuskan oleh SmartDashboard lama. Sebaliknya, Anda menggabungkan seluruh rantai bersama sertifikat server nanti pada Langkah 4, sehingga gateway menerima sertifikat beserta penerbitnya dalam satu file. Simpan file .crt dari Langkah 1 agar tetap siap. Anda akan memerlukannya untuk menyusun paket tersebut.

Jika Anda juga menggunakan sertifikat ini di tempat lain (misalnya untuk memvalidasi peer pihak ketiga dalam VPN site-to-site), Anda dapat menambahkannya sebagai trusted CA di SmartConsole di bawah Security Policies > Access Tools > Trusted CAs, kemudian Install Policy. Untuk sertifikat portal Mobile Access / VPN yang dibahas di sini, menggabungkan rantai pada Langkah 4 adalah pendekatan yang didukung.

Menjalankan gateway R77.x lama dengan klien mandiri SmartDashboard? Gunakan prosedur SmartDashboard lama di akhir tutorial ini, yang mengimpor CA root dan intermediate secara eksplisit di bawah Servers > Trusted CAs.

Langkah 3: Buat CSR pada Check Point

Pada R80 dan versi setelahnya, Check Point membuat CSR dan private key sertifikat server portal melalui baris perintah di gateway, menggunakan wrapper OpenSSL bawaannya. Hubungkan ke gateway melalui SSH, masuk ke Expert mode, dan jalankan perintah berikut, ganti nama file dengan milik Anda sendiri:

cpopenssl req -new -out /home/admin/yourwebsite.csr -keyout /home/admin/yourwebsite.key -config $CPDIR/conf/openssl.cnf

OpenSSL akan meminta Anda memasukkan kata sandi untuk melindungi private key, lalu meminta pengisian field subjek sertifikat. Isilah dengan cermat. Common Name harus berupa fully qualified domain name (FQDN) yang diketik pengguna untuk mengakses VPN/portal:

• Common Name (CN), FQDN yang ingin Anda amankan, misalnya vpn.yourwebsite.com. Untuk sertifikat wildcard, tambahkan tanda bintang di depan domain, misalnya *.yourwebsite.com.
• Organizational Unit (OU), unit yang mengajukan permintaan sertifikat, misalnya IT atau Web Administration.
• Organization (O), nama resmi lengkap perusahaan Anda, misalnya GPI Holding LLC.
• Locality (L), nama lengkap kota tempat perusahaan Anda terdaftar, misalnya San Jose.
• State (ST), nama lengkap negara bagian atau wilayah, misalnya California.
• Country (C), kode negara dua huruf, misalnya US. Anda dapat menemukan daftar lengkap kode negara secara daring.

File CSR yang dihasilkan menyimpan detail Anda dalam satu string subjek (DN) yang tampilannya seperti ini:

CN=vpn.yourwebsite.com, OU=IT, O=Your Company Name, L=City, ST=State, C=Country

Buka file .csr di editor teks dan salin seluruh isinya, termasuk baris —–BEGIN CERTIFICATE REQUEST—– dan —–END CERTIFICATE REQUEST—–. Anda menyerahkan CSR ini saat memesan SSL. Simpan file private key .key yang cocok dengan aman di gateway. Anda tidak boleh menghilangkannya, dan tidak boleh membagikannya kepada siapa pun.

Tip: jika Anda lebih memilih untuk tidak menyentuh baris perintah, Anda dapat membuat CSR dengan CSR Generator gratis kami dan menyimpan private key yang dihasilkannya. Apa pun caranya, CSR adalah yang dibutuhkan CA Anda untuk menerbitkan sertifikat.

Langkah 4: Instal sertifikat SSL pada Check Point VPN

Setelah validasi selesai, CA Anda akan mengirimkan email berisi sertifikat server yang diterbitkan, biasanya dalam arsip ZIP bersama dengan rantainya. Untuk mengimpornya melalui SmartConsole, Anda memerlukan semuanya dalam satu file .p12 (PKCS#12): sertifikat server, private key-nya, serta sertifikat intermediate dan root. Jika Anda memiliki file-file tersebut secara terpisah, gabungkan menggunakan OpenSSL bawaan gateway dengan menjalankan perintah ini dalam Expert mode:

cpopenssl pkcs12 -export -out /home/admin/yourwebsite.p12 -inkey /home/admin/yourwebsite.key -in /home/admin/yourwebsite.crt -certfile /home/admin/chain.crt

Di sini yourwebsite.crt adalah sertifikat server Anda, yourwebsite.key adalah private key dari Langkah 3, dan chain.crt adalah sertifikat intermediate dan root yang digabungkan menjadi satu file (intermediate lebih dulu, kemudian root). OpenSSL akan meminta Anda menetapkan kata sandi ekspor; Anda akan mengetikkannya kembali saat proses impor. Dengan .p12 yang sudah siap, instal file tersebut:

1. Buka SmartConsole dan pergi ke Gateways & Servers di navigasi sebelah kiri.
2. Klik dua kali pada objek Security Gateway (atau cluster) Anda untuk mengeditnya.
3. Di panel sebelah kiri, buka blade yang melayani portal Anda: Mobile Access > Portal Settings untuk portal Mobile Access VPN, atau Platform Portal untuk portal manajemen Gaia.
4. Di bagian Certificate, klik Import or Replace.
5. Telusuri file .p12 Anda, masukkan kata sandi ekspor yang telah Anda tetapkan, dan konfirmasi. SmartConsole membaca sertifikat, key, dan rantai dari file tersebut.
6. Klik OK untuk menutup objek gateway.
7. Klik Install Policy dan dorong kebijakan ke gateway agar sertifikat baru berlaku.

Selamat, Anda telah menginstal sertifikat SSL pada Check Point VPN Anda. Setelah kebijakan terinstal, gateway akan menampilkan sertifikat baru pada URL portal.

Metode lama: SmartDashboard (R77.x dan yang lebih tua)

Jika Anda masih menjalankan gateway lama yang dikelola oleh klien mandiri SmartDashboard, sertifikat dibuat dan diinstal sepenuhnya melalui GUI. Pertama, impor rantai CA:

1. Masuk ke SmartDashboard. Pada tab Servers and OPSEC Applications, buka Servers > Trusted CAs, klik kanan dan pilih New CA > Trusted.
2. Pada tab General di jendela Certificate Authority Properties, masukkan Name dan Comment opsional, lalu lanjutkan.
3. Pada tab OPSEC PKI, di bawah Retrieve CRL from, biarkan hanya HTTP Server(s) yang tercentang.
4. Di bawah Certificate, di sebelah Get the CA certificate from a file, klik Get, telusuri file root.crt Anda, dan klik OK.
5. Ulangi langkah-langkah sebelumnya untuk file intermediate.crt Anda. Kemudian buka Servers > Trusted CAs dan pastikan kedua CA sudah tercantum.

Selanjutnya, buat CSR dan instal sertifikat:

1. Perluas Network Objects, klik kanan pada gateway/cluster Check Point Anda, dan pilih Edit.
2. Di Gateway Cluster Properties, pilih VPN di panel sebelah kiri dan klik Add.
3. Masukkan Certificate Nickname, dan dari menu drop-down CA to enroll from pilih CA intermediate yang Anda impor sebelumnya. Klik Generate, lalu Yes.
4. Di kotak DN pada jendela Generate Certificate Request, ketikkan detail Anda sebagai satu string yang dipisahkan koma, misalnya CN=vpn.yourwebsite.com, OU=IT, O=Your Company Name, L=City, ST=State, C=Country, dan klik OK.
5. Kembali ke bagian VPN, klik View untuk melihat CSR, lalu Save to File untuk mengekspornya. Serahkan CSR tersebut ke CA Anda.
6. Setelah sertifikat yang ditandatangani tiba, edit kembali gateway, pilih VPN, pilih nickname yang sama, dan klik Complete. Telusuri sertifikat server Anda, klik Open, tinjau detailnya, dan klik OK. Kemudian instal kebijakan.

Metode apa pun yang Anda gunakan, rencanakan lebih awal: klien SmartDashboard lama milik Check Point tidak tersedia pada versi saat ini, sehingga jika Anda masih menggunakan R77.x, anggap peningkatan ke rilis yang didukung sebagai bagian dari siklus hidup sertifikat Anda.

Uji instalasi SSL Anda

Bahkan setelah instalasi yang bersih, kesenjangan konfigurasi seperti intermediate yang hilang atau protokol yang lemah masih dapat bertahan. Jalankan diagnostik cepat untuk memastikan gateway menyajikan rantai lengkap dan konfigurasi TLS modern. Cara paling cepat adalah membuka URL VPN/portal di browser dan memeriksa ikon gembok, tetapi pemindai khusus lebih menyeluruh.

Gunakan SSL checker gratis kami untuk membuat laporan instan tentang sertifikat, rantai, dan protokol yang didukung. Jika Anda memiliki OpenSSL di komputer Anda sendiri, Anda juga dapat memeriksa gateway secara langsung. Gantikan dengan host dan port portal Anda (portal Mobile Access biasanya mendengarkan pada 443):

echo | openssl s_client -connect vpn.yourwebsite.com:443 -servername vpn.yourwebsite.com 2>/dev/null | openssl x509 -noout -issuer -subject -dates

Jika sertifikat sudah aktif, perintah ini akan mencetak penerbit, subjek, dan tanggal berlakunya. Rantai yang lengkap dan FQDN yang sesuai berarti instalasi Anda sudah siap digunakan.

Di mana membeli sertifikat SSL terbaik untuk Check Point VPN?

Saat membeli sertifikat SSL, pertimbangkan tiga hal: jenis validasi, harga, dan dukungan. Di SSL Dragon, kami menawarkan berbagai jenis sertifikat SSL dengan harga yang kompetitif, didukung oleh layanan pelanggan bintang lima. Sertifikat kami ditandatangani oleh Certificate Authority yang terkenal, sehingga kompatibel dengan sebagian besar perangkat VPN, termasuk Check Point. Baik Anda membutuhkan sertifikat Domain Validation yang hemat biaya atau produk Extended Validation premium, kami siap membantu.

Harga SSL Dragon termasuk yang paling kompetitif di pasaran, dan tim dukungan khusus kami sangat dihargai oleh pelanggan yang sudah ada.

Tidak yakin sertifikat mana yang harus dipilih? Gunakan alat SSL Wizard kami untuk menemukan produk ideal untuk implementasi Check Point Anda.

Pertanyaan yang Sering Diajukan