Cara Menginstal Sertifikat SSL pada Produk F5

Panduan ini menunjukkan kepada Anda cara menginstal sertifikat SSL pada produk F5. Jalur utama mencakup F5 BIG-IP (platform saat ini): impor sertifikat, key, dan chain, buat profil Client SSL, lalu tetapkan profil tersebut ke Virtual Server Anda, yang merupakan langkah yang benar-benar menyajikan sertifikat kepada pengunjung. Bagian terpisah membahas F5 FirePass SSL VPN yang sudah usang.

Membuat kode CSR

CSR (Certificate Signing Request) adalah blok teks terenkode yang berisi detail kontak Anda, seperti nama domain dan informasi perusahaan. Anda membuatnya sebagai bagian dari proses pemesanan SSL dan mengirimkannya ke Certificate Authority (CA) Anda. Bersamaan dengan CSR, Anda juga membuat private key Anda. Jaga keamanan key tersebut, karena Anda memerlukannya selama instalasi. Anda memiliki dua opsi:

• Gunakan CSR Generator kami untuk membuat CSR secara otomatis.
• Ikuti tutorial langkah demi langkah kami tentang cara membuat CSR pada produk F5.

Setelah membuat CSR, salin isinya dan tempelkan langsung ke dalam pesanan SSL Anda, atau simpan ke dalam file teks. Sertakan baris penanda lengkap BEGIN CERTIFICATE REQUEST dan END CERTIFICATE REQUEST. Setiap penanda menggunakan lima tanda hubung di setiap sisinya, seperti ini:

-----BEGIN CERTIFICATE REQUEST-----
... your CSR data ...
-----END CERTIFICATE REQUEST-----

Setelah CA Anda memvalidasi permintaan tersebut dan mengirimkan email berisi file sertifikat kepada Anda, lanjutkan dengan instalasi di bawah ini.

Menginstal sertifikat SSL pada F5 BIG-IP

Langkah-langkah ini berlaku untuk BIG-IP 13.x hingga 17.x menggunakan Configuration utility (TMUI). Alur kerjanya terdiri dari tiga bagian: impor file, buat profil Client SSL, lalu tetapkan profil tersebut ke Virtual Server.

Langkah 1: Siapkan file Anda

CA Anda mengirimkan file sertifikat, biasanya dalam arsip ZIP. Unduh dan ekstrak arsip tersebut. Anda seharusnya memiliki:

• Sertifikat server utama Anda (sertifikat end-entity untuk domain Anda).
• Sertifikat intermediate, juga disebut chain atau CA bundle.
• Private key yang Anda buat bersama CSR.

Anda tidak perlu menggabungkan file-file ini secara manual. BIG-IP mengimpor sertifikat, key, dan chain sebagai objek terpisah dan merakitnya dalam profil Client SSL.

Langkah 2: Impor sertifikat, key, dan chain

• Masuk ke Configuration utility (TMUI) F5 BIG-IP.
• Buka System > Certificate Management > Traffic Certificate Management > SSL Certificate List. (Pada BIG-IP 12.x dan versi sebelumnya, jalurnya adalah System > File Management > SSL Certificate List.)
• Klik Import. Pada daftar Import Type, pilih Certificate.
• Untuk Certificate Name, pilih Create New dan masukkan nama yang unik.
• Untuk Certificate Source, pilih Upload File dan telusuri ke sertifikat Anda, atau pilih Paste Text dan tempelkan isi sertifikat. Klik Import.
• Ulangi proses impor untuk private key Anda: klik Import lagi, atur Import Type ke Key, beri nama, unggah atau tempelkan key, lalu klik Import.
• Ulangi sekali lagi untuk chain intermediate: impor sebagai Certificate dengan nama uniknya sendiri. Jika file berisi lebih dari satu intermediate, impor sebagai satu bundle tunggal agar seluruh chain tetap bersatu.

Catatan: impor chain (intermediate), bukan root. Browser sudah mempercayai root CA, sehingga server hanya perlu mengirimkan sertifikat Anda beserta intermediate-nya.

Langkah 3: Buat profil Client SSL

Profil Client SSL menyatukan sertifikat, key, dan chain sehingga BIG-IP dapat menyajikannya kepada klien.

• Buka Local Traffic > Profiles > SSL > Client, lalu klik Create.
• Masukkan Name yang unik, dan dari Parent Profile pilih clientssl.
• Pilih kotak centang Custom di sebelah Configuration agar bidang sertifikat dapat diedit.
• Di bawah Certificate Key Chain, klik Add. Atur Certificate ke sertifikat yang Anda impor, Key ke private key Anda, dan Chain ke bundle intermediate Anda. Klik Add, lalu Finished.

Untuk keamanan terkini, pastikan profil hanya menegosiasikan protokol modern. TLS 1.2 dan TLS 1.3 harus diaktifkan, sedangkan SSLv3, TLS 1.0, dan TLS 1.1 harus dinonaktifkan. Pada versi BIG-IP terbaru, parent clientssl default sudah menonaktifkan protokol-protokol usang tersebut.

Langkah 4: Tetapkan profil ke Virtual Server Anda

Inilah langkah yang benar-benar menyajikan sertifikat. Sampai profil ini dilekatkan ke Virtual Server, tidak ada perubahan apa pun bagi pengunjung.

• Buka Local Traffic > Virtual Servers dan klik Virtual Server HTTPS yang menangani situs Anda (seharusnya mendengarkan pada port 443).
• Pada pengaturan SSL Profile (Client), pilih profil baru Anda dalam daftar Available dan gunakan tombol Move untuk memindahkannya ke Selected.
• Klik Update.

Selamat, sertifikat SSL Anda kini telah terinstal dan disajikan pada F5 BIG-IP. Jika Anda belum memiliki Virtual Server yang mendengarkan pada port 443, buat terlebih dahulu, atur tujuannya ke IP layanan Anda dan port 443, lalu lekatkan profil Client SSL seperti di atas.

Warisan: Versi F5 BIG-IP sebelum 9

Rilis BIG-IP yang sangat lama (sebelum versi 9) menggunakan sistem file dan shell TMOS, bukan alur kerja impor di atas. Jika Anda masih menjalankan salah satunya, tingkatkan (upgrade) jika memungkinkan. Langkah-langkah historisnya adalah:

• Gunakan klien SFTP seperti FileZilla untuk menyalin sertifikat utama dan intermediate Anda ke perangkat.
• Tempatkan sertifikat utama (misalnya your.domain.name.crt) dan intermediate (misalnya intermediate-ca.crt) di direktori /config/bigconfig/ssl.crt/.
• Mulai ulang proxy agar sertifikat baru diterapkan. Jalankan setiap perintah pada barisnya masing-masing:

bigpipe proxy :443 disable
bigpipe proxy :443 enable

Sertifikat SSL Anda kemudian aktif pada platform tersebut.

Menginstal sertifikat SSL pada F5 FirePass SSL VPN (warisan)

Catatan: F5 FirePass telah mencapai akhir masa pakainya dan tidak lagi didukung oleh F5. Peran akses jarak jauhnya telah digantikan oleh BIG-IP APM. Langkah-langkah ini tetap disertakan bagi siapa pun yang masih mengelola perangkat FirePass; untuk penerapan saat ini, gunakan BIG-IP sebagai gantinya.

Langkah 1: Siapkan file Anda

Unduh arsip ZIP yang berisi sertifikat Anda dan ekstrak file-file tersebut pada perangkat Anda. Anda juga memerlukan private key Anda dan kata sandinya.

Langkah 2: Instal sertifikat

• Masuk ke host F5 FirePass Anda.
• Buka Device Management > Security > Certificates.
• Pada tab Renew/Replace SSL Server Certificate, klik Install.
• Pada kotak berlabel Paste the new certificate in the PEM format (for Apache + mod_ssl) here, tempelkan sertifikat SSL Anda. Buka file tersebut pada editor teks apa pun, seperti Notepad, dan sertakan baris penanda BEGIN dan END secara lengkap.
• Pada kotak berlabel Paste the corresponding cryptographic key in PEM format here, tempelkan private key Anda (yang dibuat bersama CSR).
• Pada kolom Enter Password here, ketikkan kata sandi yang Anda atur untuk private key selama pembuatan CSR.
• Pada kotak berlabel Optionally, put your intermediate certificate chain here (in the PEM format), tempelkan sertifikat intermediate (dan root, jika diperlukan) Anda, lalu klik Go.

Catatan: jika Anda melihat kesalahan Your Certificate chain cannot be fully verified, periksa apakah chain intermediate sudah lengkap dan ditempel dalam urutan yang benar, lalu impor ulang.

Langkah 3: Konfigurasikan layanan web

• Pada host FirePass, klik Web Service.
• Klik Configure, lalu Add New Service.
• Pada menu Certificate, pilih sertifikat yang baru saja Anda tambahkan.
• Klik urutan berikut: Update, lalu Finalize, Finalize Changes, Apply Changes, dan Restart.
• Host FirePass akan mulai ulang dan menyajikan sertifikat baru tersebut.

Menguji instalasi SSL Anda

Setelah menginstal sertifikat, jalankan pemindaian SSL untuk memeriksa kesalahan konfigurasi atau protokol yang lemah. Untuk detailnya, gunakan SSL Checker kami untuk menguji sertifikat SSL Anda.

Anda juga dapat mengonfirmasi sertifikat tersebut melalui command line. Ganti hostname dengan milik Anda sendiri:

echo | openssl s_client -connect yourdomain.com:443 -servername yourdomain.com 2>/dev/null | openssl x509 -noout -issuer -subject -dates

Perintah ini mencetak penerbit, subjek, dan tanggal masa berlaku dari sertifikat yang disajikan BIG-IP, yang mengonfirmasi bahwa profil Client SSL telah dilekatkan ke Virtual Server dengan benar.

Pertanyaan yang Sering Diajukan