Come generare un CSR su Kemp LoadMaster

Questa guida ti mostra come generare una CSR (Certificate Signing Request) su un Kemp LoadMaster. Puoi creare la richiesta nella WUI di LoadMaster sotto Certificates & Security > Generate CSR, assegnare un nome alla chiave privata, compilare i dettagli della tua organizzazione, quindi copiare il testo della CSR e inviarlo alla tua Certificate Authority. La chiave privata viene generata contemporaneamente e rimane sul LoadMaster, associata al nome che hai scelto, quindi il certificato firmato deve essere importato nuovamente sullo stesso dispositivo per corrispondere ad essa.

Nota: Kemp è stata acquisita da Progress Software nel novembre 2021, e il prodotto è ufficialmente marchiato Progress Kemp LoadMaster. Il firmware installato sul dispositivo si chiama LMOS (LoadMaster Operating System), con le build attuali sul ramo 7.2.x. Il nome “Kemp LoadMaster” è ancora ampiamente utilizzato dagli amministratori e nella documentazione di terze parti, quindi questa guida usa entrambi i termini in modo intercambiabile.

Genera la CSR su Kemp LoadMaster

Se hai già generato la tua CSR e ricevuto i file firmati dalla CA, salta questa sezione e vai direttamente a come installare un certificato SSL su Kemp LoadMaster. Altrimenti, segui i passaggi seguenti. I percorsi dei menu e le etichette dei campi corrispondono alle build attuali di LMOS 7.2.x.

Passaggio 1: Apri la schermata Generate CSR

• Accedi all’interfaccia web (WUI) del tuo LoadMaster con un account che dispone dei diritti di gestione dei certificati, come l’amministratore integrato bal.
• Nel menu principale, espandi Certificates & Security e apri Generate CSR. Si apre il modulo Generate Certificate Signing Request.
• Nel campo Private Key Identifier, inserisci un nome descrittivo per la chiave, ad esempio yourdomain-2026. Questa etichetta è ciò che permette al LoadMaster di mantenere la chiave privata associata al futuro certificato firmato, quindi usa qualcosa che riconoscerai in seguito.

Passaggio 2: Compila il modulo

Compila ogni campo. Le Certificate Authority pubbliche richiedono tutti i valori relativi alla posizione e all’organizzazione per i prodotti Organization Validated (OV) ed Extended Validation (EV); anche i certificati Domain Validated (DV) li utilizzano, anche se alcuni non vengono stampati nel certificato emesso.

• 2 Letter Country Code: il codice ISO 3166-1 alpha-2 del paese in cui la tua organizzazione è registrata, ad esempio US per gli Stati Uniti o DE per la Germania. Consulta l’elenco completo dei codici paese se non sei sicuro.
• State/Province (Entire Name – New York, not NY): il nome completo dello stato, della provincia o della regione, ad esempio Arizona, non l’abbreviazione.
• City: il nome completo della città in cui la tua organizzazione è ufficialmente registrata, ad esempio Phoenix.
• Company: il nome legale completo dell’azienda proprietaria del dominio, esattamente come riportato nella registrazione della tua attività, ad esempio Your Company LLC. Le CA rifiutano le discrepanze tra questo campo e il nome aziendale verificato per i certificati OV ed EV.
• Organization: questo campo corrisponde all’Organizational Unit (dipartimento), ad esempio IT o Marketing. Le CA pubbliche non includono più il campo OU nei certificati emessi, quindi lascialo vuoto oppure inserisci un nome di dipartimento generico.
• Common Name: il nome di dominio completamente qualificato (FQDN) che desideri proteggere, ad esempio www.yourdomain.com. Per un certificato wildcard, metti un asterisco davanti al dominio principale, ad esempio *.yourdomain.com.
• Email Address: un’email di contatto amministrativo della tua organizzazione. Alcune CA la utilizzano per la corrispondenza di validazione; altrimenti è solo a scopo informativo.
• SAN/UCC Names: elenca ogni hostname aggiuntivo che il certificato deve coprire, separati da spazi o virgole, ad esempio yourdomain.com mail.yourdomain.com. Le CA pubbliche validano e presentano i certificati in base all’elenco SAN piuttosto che al Common Name, quindi ripeti anche qui il valore del Common Name.
• Generate Elliptical Curve Request: spunta questa casella solo se desideri una chiave ECDSA (P-256) e la tua CA e i tuoi client la supportano. Lasciala deselezionata per la chiave RSA a 2048 bit standard, che è la scelta più compatibile.

LoadMaster firma la richiesta con SHA-256 per impostazione predefinita, il che soddisfa il requisito minimo di digest di ogni attuale CA pubblica.

Passaggio 3: Crea la CSR

Controlla nuovamente ogni campo, in particolare il Common Name e l’elenco SAN, poi clicca su Create CSR. Il LoadMaster genera la coppia di chiavi sul dispositivo e mostra il testo della CSR sullo schermo, tra i marcatori —–BEGIN CERTIFICATE REQUEST—– e —–END CERTIFICATE REQUEST—–. La chiave privata rimane sul LoadMaster, indicizzata dal Private Key Identifier scelto nel Passaggio 1.

Copia e invia la CSR

Il testo mostrato dal LoadMaster ha questo aspetto:

-----BEGIN CERTIFICATE REQUEST-----
MIIC...your encoded request...AB==
-----END CERTIFICATE REQUEST-----

Seleziona l’intero blocco, incluse le righe —–BEGIN CERTIFICATE REQUEST—– e —–END CERTIFICATE REQUEST—– e ogni carattere tra di esse. Ogni marcatore utilizza cinque trattini su ciascun lato, senza spazi. Copia il blocco e incollalo nel campo CSR sulla pagina d’ordine del tuo fornitore SSL. Se desideri conservare una copia locale, incolla lo stesso testo in un editor di testo semplice (Notepad, TextEdit in modalità testo semplice, o qualsiasi editor di codice) e salvalo come file .csr o .txt.

Non eliminare la voce corrispondente da SSL Certificates mentre attendi che il certificato firmato ti venga restituito. Il LoadMaster ha bisogno della chiave privata memorizzata per associarla al certificato emesso al momento dell’importazione.

Verifica la CSR prima di inviarla

Vale la pena confermare che la richiesta contenga i dettagli corretti del dominio e dell’organizzazione prima di effettuare l’ordine. Incolla il testo della CSR nel nostro decodificatore CSR online per visualizzare il Common Name, le voci SAN, la dimensione della chiave, l’algoritmo di firma e i valori dell’organizzazione che il LoadMaster ha scritto nella richiesta. Se qualcosa è sbagliato, genera una nuova CSR sul LoadMaster piuttosto che modificare il file: qualsiasi modifica al testo invalida la firma.

Se preferisci preparare la richiesta in un browser, puoi anche crearne una con il nostro Generatore CSR online. Nota che il generatore crea la chiave privata nel tuo browser, quindi salva tu stesso la chiave e combinala con il certificato emesso in un file .pfx prima di importarlo nel LoadMaster (LoadMaster accetta PEM e PFX).

Dopo che la CA emette il tuo certificato

Una volta che la CA valida la richiesta, ti invia via email il certificato firmato e la sua catena intermedia (CA), solitamente in un archivio ZIP. Scarica ed estrai l’archivio sul tuo computer, quindi torna alla WUI del LoadMaster:

• Apri Certificates & Security > SSL Certificates e usa Import Certificate per caricare il certificato firmato. Inserisci lo stesso Certificate Identifier che hai usato come Private Key Identifier quando hai generato la CSR. Il LoadMaster associa il certificato importato alla chiave privata memorizzata tramite quel nome, quindi non è necessario un file di chiave separato.
• Aggiungi il certificato intermedio (bundle CA) sotto Certificates & Security > Intermediate Certs in modo che il LoadMaster possa servire la catena completa. Se la CA ha restituito un unico file .pfx che include già la catena, puoi importarlo direttamente e saltare il passaggio separato per il certificato intermedio.
• Assegna il certificato al tuo Virtual Service nella sezione Assignment del certificato: sposta il servizio da Available VSs alla casella assegnata usando il pulsante con la freccia destra, poi clicca su Save Changes. Un certificato importato ma non assegnato viene memorizzato sul LoadMaster ma non serve il traffico, che è il motivo più comune per cui un certificato appena installato sembra non fare nulla.

La procedura completa, incluso il SSL Acceleration sul Virtual Service, si trova nella nostra guida su come installare un certificato SSL su Kemp LoadMaster.