Come generare un CSR su Ivanti Connect Secure (Pulse Secure)

Questa guida mostra come generare un CSR (Certificate Signing Request) su Ivanti Connect Secure, l’appliance SSL VPN venduta per anni con il nome Pulse Secure. La richiesta viene creata nella console di amministrazione in System > Configuration > Certificates > Device Certificates, compilando i dati della propria organizzazione e copiando la richiesta codificata nel modulo d’ordine del certificato. L’appliance genera contemporaneamente anche la chiave privata corrispondente e la conserva sul dispositivo, quindi il certificato firmato deve tornare sulla stessa appliance, nella stessa richiesta in sospeso.

Una nota sul nome, perché entrambi sono ancora in uso. Il prodotto è nato come Junos Pulse di Juniper Networks. Nel 2014 Siris Capital ha acquistato quel ramo d’azienda da Juniper e ha fondato Pulse Secure, e il 1 dicembre 2020 Ivanti ha acquisito Pulse Secure rinominando la gamma: Pulse Connect Secure è diventato Ivanti Connect Secure, Pulse Policy Secure è diventato Ivanti Policy Secure, e l’app desktop che la maggior parte delle persone chiamava Pulse Secure è ora l’Ivanti Secure Access Client. Per questa procedura è cambiato solo il branding. Il percorso dei menu, i nomi dei pulsanti e il modulo descritto di seguito sono quelli documentati da Ivanti per le versioni attuali 25.1, e sono gli stessi anche nelle build più datate 22.x e 9.1 che mostrano ancora il branding Pulse.

Genera il CSR su Ivanti Connect Secure (Pulse Secure)

Se hai già generato il tuo CSR e ricevuto i file firmati dalla CA, salta questa sezione e vai direttamente a come installare un certificato SSL su Ivanti Connect Secure. Altrimenti, segui i quattro passaggi seguenti. Prima di iniziare, stabilisci l’esatto nome host che i tuoi utenti digitano per raggiungere la VPN, perché è quello il nome che il certificato dovrà contenere.

Passaggio 1: Apri la pagina Device Certificates

1. Accedi alla console di amministrazione della tua appliance Ivanti Connect Secure.
2. Seleziona System > Configuration > Certificates > Device Certificates.
3. I certificati già presenti sull’appliance sono elencati in cima alla pagina sotto Certificate issued to. Scorri oltre quell’elenco fino al pulsante New CSR, che si trova subito sopra la tabella Certificate Signing Requests, e cliccaci sopra. Si aprirà il modulo di richiesta.

Passaggio 2: Compila i dati del richiedente

Tutto ciò che digiti qui va a finire nella richiesta, e la maggior parte anche nel certificato emesso. Scrivi i valori per esteso e non usare abbreviazioni.

• Common Name: il nome di dominio completamente qualificato che il certificato deve proteggere, ad esempio vpn.yourcompany.com. Deve essere il nome che gli utenti digitano effettivamente nel browser o nell’Ivanti Secure Access Client, non il nome host interno dell’appliance. Per un certificato wildcard, inserisci invece un asterisco davanti al dominio, ad esempio *.yourcompany.com.
• Organization Name: la denominazione legale completa della tua azienda come registrata, ad esempio Your Company LLC. Un certificato Domain Validated lo ignora, ma i certificati Organization Validated ed Extended Validation vengono verificati rispetto ai registri aziendali, quindi un nomignolo o un nome commerciale bloccherebbe il tuo ordine.
• Org. Unit Name: lascia il campo vuoto. Dal 1 settembre 2022 le Baseline Requirements del CA/Browser Forum vietano alle CA pubbliche di inserire l’Organizational Unit nei certificati emessi, quindi qualsiasi cosa digiti qui verrà scartata.
• Locality: la città in cui è registrata la tua attività, scritta per esteso, ad esempio San Jose. Si tratta del tuo indirizzo registrato, non del luogo in cui è installata fisicamente l’appliance.
• State (fully spelled out): lo stato o la provincia di quell’indirizzo registrato, scritto per esteso, ad esempio California e non CA.
• Country (2 letter code): il codice paese ISO a due lettere, ad esempio US.
• Email Address: un indirizzo di contatto. Le CA pubbliche eseguono la convalida tramite i dati di contatto presenti nel tuo ordine piuttosto che tramite questo campo, quindi non è questo a determinare chi riceve le e-mail di approvazione.

Attenzione agli apostrofi. Ivanti documenta che un apostrofo all’interno di uno qualsiasi di questi valori deve essere preceduto da un backslash di escape, quindi un’azienda registrata come Children’s Trust va inserita come Children’s Trust. Se non lo fai, la richiesta non viene generata oppure torna con il nome alterato.

Passaggio 3: Scegli il tipo e la lunghezza della chiave

Sotto i campi del richiedente, il modulo chiede come deve essere costruita la coppia di chiavi. Qui compaiono tre impostazioni, e le prime due determinano se la tua CA accetterà la richiesta, quindi non passarle in fretta.

• Key Type: lascia impostato su RSA a meno che tu non abbia un motivo specifico per fare diversamente. Selezionando ECC compare un menu ECC Curve: l’esempio pratico dello stesso Ivanti crea una richiesta P-256, e la sua guida Suite B copre P-256, P-384 e P-521. Con questa scelta si presentano due condizioni: Ivanti documenta i certificati ECC come supportati solo sui gateway della serie ISA e sulle piattaforme virtual appliance, e una volta che un certificato ECC è associato a una porta di rete, solo i client che supportano cipher suite ECC possono connettersi su quella porta. RSA evita entrambe le complicazioni.
• Key Length: scegli come minimo 2048, la chiave RSA più piccola che le CA pubbliche firmano. Il menu elenca ancora 1024, quindi assicurati di modificarlo. Anche 3072 o 4096 vanno bene se la tua policy richiede una chiave più grande. Le versioni attuali di Ivanti Connect Secure documentano il supporto per chiavi dei certificati dispositivo fino a 8192 bit, ma versioni precedenti documentavano un limite di 3072 bit, quindi verifica cosa offre la tua build prima di pianificare l’uso di una chiave grande.
• Random Data: digita in questa casella una lunga sequenza di caratteri casuali. L’appliance mescola ciò che digiti nel proprio generatore di numeri casuali quando crea la chiave. Non c’è nulla da memorizzare né da annotare.

Una nota di versione da conoscere. A partire dalla release 25.1.0.0, Ivanti Connect Secure non accetta più SHA-1 nelle firme digitali, e un’appliance che possiede solo certificati dispositivo firmati con SHA-1 non riesce ad avviare la propria interfaccia utente. Le CA pubbliche hanno smesso di emettere certificati SHA-1 all’inizio del 2016, quindi un certificato ordinato oggi da una CA pubblica non ne è interessato. Il problema riguarda chi effettua richieste a una CA interna o legacy: assicurati che firmi con SHA-256 o superiore.

Passaggio 4: Crea la richiesta

Rileggi ogni campo prima di confermare, poi clicca su Create CSR. L’appliance genera la richiesta e, nello stesso momento, la chiave privata che le appartiene. La chiave resta sul dispositivo e non ti viene mai mostrata né inviata alla CA.

La schermata successiva conferma che la richiesta è stata creata. Scorri verso il basso e vedrai la richiesta codificata vera e propria, pronta da copiare o salvare in un file.

Copia il CSR e inviaLo alla tua CA

Il blocco visualizzato a schermo ha questo aspetto:

-----BEGIN CERTIFICATE REQUEST-----
MIICvDCCAaQCAQAwdzELMAkGA1UEBhMCVVMxEzARBgNVBAgMCkNhbGlmb3JuaWEx
... (many lines of base64) ...
-----END CERTIFICATE REQUEST-----

Seleziona l’intero blocco, comprese le righe -----BEGIN CERTIFICATE REQUEST----- e -----END CERTIFICATE REQUEST-----. Ogni marcatore ha cinque trattini su entrambi i lati. Nota la parola REQUEST: una richiesta di firma del certificato non è delimitata da BEGIN CERTIFICATE, e incollare il marcatore più corto è un motivo comune per cui un modulo d’ordine rifiuta la richiesta. Incolla il blocco in un editor di testo semplice come Notepad o TextEdit, quindi nella casella CSR del tuo modulo d’ordine. Non usare un elaboratore di testi, che può sostituire i caratteri e rompere la codifica.

Clicca su Back to Device Certificates quando hai finito. La tua richiesta comparirà ora sotto Certificate Signing Requests come link Pending CSR, e potrai riaprirla in qualsiasi momento per copiare nuovamente il testo.

Due cose da evitare mentre aspetti:

• Non eliminare il CSR in sospeso. Ivanti è esplicita sulla conseguenza: eliminare la richiesta elimina anche la chiave privata insieme ad essa, e non sarai in grado di installare il certificato emesso a partire da essa. Se succede, l’unica soluzione è un nuovo CSR e una nuova emissione.
• Non inviare più di un CSR alla volta a una CA. Ivanti avverte che farlo può comportare addebiti duplicati.

Se il modulo d’ordine chiede per quale server web è destinato il certificato, scegli Apache, oppure una qualsiasi opzione Apache se ne sono elencate diverse. Se chiede un formato del certificato, scegli quello standard. Entrambe sono raccomandazioni dello stesso Ivanti per questa appliance.

Controlla il CSR prima di inviarlo

Un errore di battitura nel Common Name significa che la CA emette un certificato che i tuoi utenti non possono usare, e una nuova emissione ti costa un altro giro di convalida. Incolla la richiesta nel nostro CSR Decoder e rileggila: il Common Name dovrebbe essere l’esatto nome host che gli utenti digitano, e i dati dell’organizzazione dovrebbero corrispondere alla tua registrazione. Se qualcosa non va, crea un nuovo CSR sull’appliance. Non modificare mai il testo codificato, perché la richiesta è firmata dalla propria chiave privata e qualsiasi modifica la invalida.

Se hai OpenSSL su una workstation, salva la richiesta in un file ed esegui lo stesso controllo in locale:

openssl req -noout -text -verify -in vpn.csr

Stampa il subject, la dimensione della chiave e una riga che conferma che la richiesta viene verificata rispetto alla propria chiave.

Quando il modulo integrato non basta

Il modulo New CSR chiede un unico Common Name e non ha alcun campo per nomi host aggiuntivi, quindi non può costruire una richiesta per un certificato multi-dominio (SAN). Se un certificato deve coprire diversi nomi distinti, ad esempio vpn.yourcompany.com e portal.yourcompany.com, costruisci la richiesta al di fuori dell’appliance e importa successivamente il certificato insieme alla sua chiave. Un certificato wildcard non ha bisogno di questo: inserisci il wildcard come Common Name e il modulo integrato lo gestisce.

Il nostro CSR Generator costruisce una richiesta SAN da un unico modulo. Se preferisci usare OpenSSL su qualsiasi macchina, questo comando produce insieme la richiesta e la chiave:

openssl req -new -newkey rsa:2048 -nodes 
-keyout vpn.key 
-out vpn.csr 
-subj "/CN=vpn.yourcompany.com/O=Your Company LLC/L=San Jose/ST=California/C=US" 
-addext "subjectAltName=DNS:vpn.yourcompany.com,DNS:portal.yourcompany.com"

Ripeti il Common Name come prima voce nell’elenco SAN, come mostrato. I client confrontano il nome host con le voci SAN e ignorano il Common Name, quindi un nome che compare solo nel CN non è coperto. Conserva vpn.key in un luogo sicuro: con una richiesta creata in questo modo, l’appliance non detiene la chiave, quindi dovrai fornirla tu stesso al momento dell’importazione tramite Import Certificate & Key anziché tramite un CSR in sospeso.

Dopo che la CA emette il tuo certificato

Al termine della convalida, la CA ti invia via e-mail il certificato firmato e la sua catena intermedia (CA), solitamente in un archivio ZIP. Estrailo, poi torna su System > Configuration > Certificates > Device Certificates, clicca sul link Pending CSR corrispondente, e sotto Import signed certificate naviga fino al file e clicca su Import. Importare sulla richiesta in sospeso è ciò che abbina il certificato alla chiave che l’appliance ha conservato fin dal Passaggio 4.

L’appliance accetta certificati X.509 in codifica DER o PEM (file .cer, .crt, .der e .pem) oltre a PKCS#12 (.pfx e .p12). L’importazione del certificato non è l’ultimo passaggio: devi ancora aggiungere i certificati intermedi e associare il nuovo certificato alle tue porte prima che qualcosa cambi per gli utenti. La nostra guida su come installare un certificato SSL su Ivanti Connect Secure copre entrambi gli aspetti.

Se stai sostituendo un certificato in scadenza, hai una scelta. Creare un nuovo CSR come descritto sopra è l’opzione che Ivanti definisce più sicura, perché la CA emette un nuovo certificato associato a una nuova chiave e quella vecchia viene ritirata. L’alternativa conserva la chiave esistente, e Ivanti la definisce meno sicura: ordina il rinnovo dalla tua CA reinviando il tuo CSR originale, oppure confermando che la CA lo ha ancora registrato, poi apri il certificato nell’elenco, clicca su Renew Certificate, naviga fino al file rinnovato e clicca su Import. Questo ti risparmia di costruire una nuova richiesta, al costo di portare avanti la stessa chiave.

Domande frequenti