Come generare un CSR in NetScaler

Questa guida mostra come generare una CSR (Certificate Signing Request) su NetScaler, il load balancer e application delivery controller precedentemente commercializzato come Citrix ADC. Creerai una chiave privata RSA, costruirai la CSR con le voci Distinguished Name e Subject Alternative Name corrispondenti, copierai la richiesta codificata e la invierai alla tua Certificate Authority. La stessa procedura funziona nella GUI di NetScaler sia sulla versione attuale 14.1 LTS che sulla 13.1, che raggiunge la fine della manutenzione il 15 settembre 2026 e la fine del ciclo di vita il 15 settembre 2027; la sezione facoltativa CLI alla fine funziona su qualsiasi versione moderna.

Nota sul nome: il prodotto si chiamava originariamente NetScaler, è stato rinominato Citrix ADC nel 2018, per poi tornare al nome NetScaler nell’ottobre 2022, quando Cloud Software Group ha scorporato NetScaler come marchio separato. Potresti ancora trovare “Citrix ADC” nei firmware, nei menu e nella documentazione più datati; i passaggi per la CSR indicati di seguito sono identici per entrambi i nomi.

Accedi all’appliance NetScaler (MPX, SDX, VPX o CPX) come utente con diritti di scrittura su /nsconfig/ssl/, quindi segui i passaggi nell’ordine indicato.

Passo 1: Crea la chiave privata RSA

NetScaler conserva la chiave privata come file in /nsconfig/ssl/ e vi fa riferimento tramite il nome quando costruisci la CSR e, successivamente, quando installi il certificato emesso. Crea prima la chiave:

• Nella GUI, vai su Configuration > Traffic Management > SSL > SSL Files.
• Apri la scheda SSL Keys e clicca su Create RSA Key.

Compila la finestra Create RSA Key:

• Key Filename: un nome per il file della chiave, ad esempio yourdomain-2026.key. NetScaler lo scrive di default in /nsconfig/ssl/.
• Key Size (bits): 2048 è il minimo attuale accettato da tutte le CA pubbliche. Scegli 3072 o 4096 solo se la tua politica di sicurezza richiede una chiave più grande; il compromesso è un handshake TLS leggermente più pesante.
• Public Exponent Value: F4 (0x10001), il valore standard utilizzato praticamente da ogni certificato RSA sul web.
• Key Format: PEM.
• PEM Encoding Algorithm: lascia vuoto per una chiave non cifrata. Il menu a tendina offre AES 256, DES e DES3; AES 256 è l’unica scelta moderna tra le tre, poiché DES e DES3 sono algoritmi obsoleti. Qualunque tu scelga, NetScaler ti richiederà di inserire (e reinserire) una passphrase ad ogni riavvio e ogni volta che fai riferimento alla chiave, il che raramente ne vale la pena su un’appliance che amministri tu stesso. Lascia vuoto a meno che la tua policy non stabilisca diversamente.
• PEM Passphrase e Confirm PEM Passphrase: necessari solo se hai scelto uno degli algoritmi di crittografia sopra indicati.

Clicca su OK, quindi su Close. La chiave ora esiste in /nsconfig/ssl/ sull’appliance ed è pronta per essere associata a una CSR.

Se preferisci una chiave ECDSA (più piccola, più veloce e supportata da tutti i browser attuali), usa la CLI: create ssl ecdsakey yourdomain-2026.key -curve P_256. ECDSA P-256 è la scelta comune; P-384 se desideri una curva più grande.

Passo 2: Apri la finestra di dialogo Create CSR

Sempre in Configuration > Traffic Management > SSL > SSL Files, apri la scheda CSRs e clicca su Create Certificate Signing Request (CSR). Si apre la finestra Create Certificate Signing Request (CSR).

Passo 3: Compila i campi del file e della chiave

• Request File Name: un nome per il file CSR, ad esempio yourdomain-2026.csr. NetScaler lo scrive di default in /nsconfig/ssl/.
• Key Filename: clicca su Browse, imposta il menu a tendina della sorgente su Appliance e seleziona la chiave creata al Passo 1 (ad esempio yourdomain-2026.key). Clicca su Select, quindi su Open.
• Key Format: PEM.
• PEM Passphrase (For Encrypted Key): solo se la chiave RSA ha una passphrase impostata. Altrimenti lascia vuoto.
• Digest Method: seleziona SHA256. SHA-1 è deprecato e rifiutato da tutte le CA pubbliche; non selezionarlo.

Passo 4: Compila i campi Distinguished Name

Usa solo caratteri ASCII standard in ogni campo; lettere non latine o caratteri accentati compromettono la richiesta:

• Country: scegli il codice paese ISO a due lettere in cui è registrata la tua organizzazione (ad esempio US, GB, DE).
• State or Province: il nome completo dello stato o della provincia (ad esempio Washington, non WA).
• Organization Name: la ragione sociale completa della tua azienda, esattamente come registrata. Obbligatorio per i certificati OV ed EV. Per i certificati Domain Validation (DV) questo campo viene ignorato, quindi va bene anche un segnaposto breve.
• Organization Unit: un’etichetta di reparto come IT. Il CA/Browser Forum ha eliminato gradualmente questo attributo per i certificati pubblici, quindi lascialo vuoto dove il modulo lo consente.
• City or Locality: il nome completo della città in cui è registrata la tua organizzazione (ad esempio Seattle, non SEA).
• Common Name: il nome di dominio completamente qualificato (FQDN) che vuoi proteggere, ad esempio www.example.com. Per un certificato wildcard, inserisci un asterisco davanti al dominio principale, ad esempio *.example.com.
• Email Address: facoltativo. Le CA pubbliche non lo utilizzano più per l’emissione SSL/TLS; puoi lasciarlo vuoto.
• Challenge Password e Company Name: attributi legacy facoltativi. Le CA pubbliche li ignorano entrambi; lasciali vuoti.

Passo 5: Aggiungi il Subject Alternative Name (SAN)

I browser e i client moderni (Chromium, Firefox, Safari, .NET, Java, Go) convalidano l’hostname solo rispetto all’estensione Subject Alternative Name; il Common Name non viene più utilizzato per le decisioni di fiducia dal 2017. Le CA pubbliche copiano automaticamente il CN in una voce SAN per gli ordini con un singolo nome, quindi una richiesta con solo il CN viene comunque emessa, ma se hai bisogno di più hostname su un unico certificato (ad esempio example.com e www.example.com, o un certificato multi-dominio) devi aggiungerli esplicitamente.

• Apri la sezione Subject Alternative Name (SAN) della finestra di dialogo.
• Aggiungi una voce per ogni hostname, preceduta da DNS:, ad esempio DNS:www.example.com e DNS:example.com.
• Per l’accesso basato su IP (raro per i certificati pubblici), usa invece il prefisso IP:, ad esempio IP:192.0.2.10. Le CA pubbliche emettono certificati solo per gli IP che possono convalidare. NetScaler documenta un’avvertenza in merito: l’appliance elabora solo i valori SAN basati su DNS, quindi una voce IP viene comunque inclusa nella CSR e nel certificato emesso, ma l’appliance non la utilizza quando abbina un certificato a una richiesta in arrivo.

Se il campo Subject Alternative Name (SAN) non è presente nella tua build, la versione CLI del comando lo rende disponibile su ogni release (vedi l’alternativa CLI alla fine di questa guida).

Passo 6: Genera la CSR

Controlla nuovamente ogni campo, quindi clicca su Create (nelle build più datate: OK). Clicca su Close. NetScaler scrive la CSR in /nsconfig/ssl/ sull’appliance e conserva la chiave privata corrispondente accanto ad essa.

Passo 7: Copia la CSR e inviala alla tua CA

• Vai su Configuration > Traffic Management > SSL.
• Nella pagina principale, sotto Tools, clicca su Manage Certificates / Keys / CSRs.
• Individua il tuo file yourdomain-2026.csr nell’elenco e clicca su View.

La CSR è un blocco di testo in base64 simile a questo:

-----BEGIN CERTIFICATE REQUEST-----
MIIDXjCCAkYCAQAwgZQxCzAJBgNVBAYTAlVTMRMwEQYDVQQIDApXYXNoaW5ndG9u
... (many lines of base64) ...
-----END CERTIFICATE REQUEST-----

Seleziona l’intero blocco, comprese le righe -----BEGIN CERTIFICATE REQUEST----- e -----END CERTIFICATE REQUEST-----, copialo e incollalo nel campo CSR del modulo d’ordine. Attendi che la CA convalidi la richiesta ed emetta il certificato. Quando i file SSL arrivano nella tua casella di posta, segui come installare un certificato SSL su NetScaler per completare la distribuzione.

Verifica la CSR prima di inviarla (facoltativo)

Vale la pena confermare il Common Name, le voci SAN e la dimensione della chiave prima di inviare la richiesta alla tua CA. Incolla il contenuto della richiesta nel decodificatore CSR di SSL Dragon per leggere ogni campo. Verifica che il Common Name corrisponda all’hostname che i client utilizzeranno e che ogni nome richiesto compaia nell’elenco Subject Alternative Name. Gli errori a questo punto sono economici da correggere; gli errori dopo l’emissione richiedono una riemissione.

Genera la CSR dalla CLI (facoltativo)

Se preferisci la riga di comando (o se la tua build nasconde il campo SAN nella GUI), connettiti all’appliance tramite SSH ed esegui i comandi equivalenti. Sostituisci i nomi e i valori dei campi con i tuoi:

create ssl rsakey /nsconfig/ssl/yourdomain-2026.key 2048 -exponent F4

create ssl certReq /nsconfig/ssl/yourdomain-2026.csr 
  -keyFile /nsconfig/ssl/yourdomain-2026.key 
  -countryName US 
  -stateName Washington 
  -organizationName "Example Inc" 
  -localityName Seattle 
  -commonName www.example.com 
  -subjectAltName "DNS:www.example.com DNS:example.com" 
  -digestMethod SHA256

Note sui valori:

• Le continuazioni di riga () servono per la leggibilità; puoi eseguire il comando create ssl certReq su un’unica riga se preferisci.
• -subjectAltName accetta una singola stringa tra virgolette con voci separate da spazi; il formato è DNS:hostname (o IP:indirizzo).
• Per una chiave ECDSA, sostituisci la riga create ssl rsakey con create ssl ecdsakey /nsconfig/ssl/yourdomain-2026.key -curve P_256 e mantieni invariato il resto del comando.
• Per rileggere la CSR al prompt, esegui cat /nsconfig/ssl/yourdomain-2026.csr dalla shell dell’appliance.