Come generare un CSR su PRTG Network Monitor

Questa guida mostra come generare un CSR (Certificate Signing Request) per PRTG Network Monitor su Windows. PRTG (linea attuale 2026: versione 26.x) non dispone di uno strumento CSR integrato, quindi devi creare la richiesta e la chiave privata corrispondente sul server core di PRTG (o su qualsiasi workstation Windows) con OpenSSL, per poi inviare la richiesta alla tua Certificate Authority. Quando la CA restituisce il certificato emesso, importi tre file con nomi esatti nella cartella cert di PRTG durante l’installazione.

Prima di iniziare, decidi dove eseguire OpenSSL. Il CSR è portabile, quindi entrambe le macchine funzionano. Eseguirlo direttamente sul server core di PRTG è conveniente perché la chiave privata risultante non deve mai spostarsi tra host.

Genera un CSR per PRTG Network Monitor con OpenSSL

Se hai già generato il tuo CSR altrove e devi solo installare il certificato emesso, salta direttamente a come installare un certificato SSL su PRTG Network Monitor.

Passo 1: Installa OpenSSL per Windows

Windows non include OpenSSL. Scarica il pacchetto di installazione Win64 OpenSSL Light da Shining Light Productions, la build della community più utilizzata. Il pacchetto Light contiene solo i binari a riga di comando, che sono tutto ciò di cui hai bisogno per creare un CSR. Se il programma di installazione richiede un Microsoft Visual C++ Redistributable, installalo prima da Microsoft.

Accetta il percorso di installazione predefinito (C:Program FilesOpenSSL-Win64) e posiziona i binari di OpenSSL nella cartella bin di Windows quando richiesto. Su host a 32 bit, scegli invece la build Win32 in C:Program Files (x86)OpenSSL-Win32. Se preferisci non installare nulla, puoi anche eseguire OpenSSL all’interno di WSL o da Git for Windows, entrambi già dotati del binario.

Passo 2: Apri un prompt dei comandi nella cartella bin di OpenSSL

Premi Win + R, digita cmd e premi Invio per aprire un prompt dei comandi. Poi spostati nella directory bin di OpenSSL:

cd "C:Program FilesOpenSSL-Win64bin"

Le virgolette attorno al percorso sono importanti perché Program Files contiene uno spazio. Sulle installazioni a 32 bit, usa invece C:Program Files (x86)OpenSSL-Win32bin.

Passo 3: Esegui il comando OpenSSL per generare il CSR e la chiave privata

Esegui il seguente comando. Crea una chiave privata RSA a 2048 bit e un CSR PKCS #10 SHA-256 nella cartella corrente, con nomi corrispondenti ai nomi file che PRTG stesso richiederà in seguito (prtg.key per la chiave, prtg.csr per la richiesta):

openssl req -new -newkey rsa:2048 -nodes -sha256 -keyout prtg.key -out prtg.csr

Cosa fa ciascun flag:

• -new: crea una nuova richiesta.
• -newkey rsa:2048: genera una nuova chiave privata RSA a 2048 bit insieme alla richiesta. Questo è il minimo attuale accettato da ogni CA pubblica; scegli rsa:3072 o rsa:4096 se la tua policy richiede una chiave più grande.
• -nodes: non crittografare la chiave privata con una passphrase. PRTG richiede una chiave non crittografata al runtime; usando -nodes qui eviti un passaggio di decrittazione in seguito.
• -sha256: firma la richiesta con SHA-256. Le versioni moderne di OpenSSL usano SHA-256 per impostazione predefinita, ma specificarlo esplicitamente è innocuo e protegge contro build più vecchie che usano ancora SHA-1 come default.
• -keyout prtg.key e -out prtg.csr: scrive la chiave e il CSR con questi nomi file nella cartella corrente.

Perché chiamarli prtg.key / prtg.csr fin d’ora? Quando installi il certificato emesso, PRTG legge solo tre file dalla sua cartella cert, ognuno con un nome esatto: prtg.crt (certificato server), prtg.key (chiave privata) e root.pem (catena dell’emittente). Chiamare la chiave prtg.key già in fase di generazione significa una ridenominazione in meno da fare dopo.

Passo 4: Compila i campi del Distinguished Name

OpenSSL richiede i dettagli del soggetto che verranno inseriti nel CSR. Usa solo caratteri ASCII standard; lettere non latine invalidano la richiesta. Gli esempi seguenti sono segnaposto; sostituiscili con i tuoi valori:

• Country Name (2 letter code): il codice paese ISO a due lettere, ad esempio US, GB, DE.
• State or Province Name (full name): il nome completo della regione o provincia, ad esempio Florida (non FL).
• Locality Name (eg, city): la città in cui è registrata la tua organizzazione, scritta per intero, ad esempio Orlando.
• Organization Name (eg, company): la ragione sociale completa della tua azienda, esattamente come registrata. Obbligatorio per i certificati OV ed EV. Per i certificati Domain Validation (DV), il campo viene ignorato.
• Organizational Unit Name (eg, section): un’etichetta di reparto come IT o Network Operations. Il CA/Browser Forum ha eliminato progressivamente questo attributo per i certificati pubblici, quindi lascialo minimo o premi Invio per saltarlo.
• Common Name (eg, FQDN): il nome di dominio completamente qualificato utilizzato dai client per raggiungere l’interfaccia web di PRTG, ad esempio prtg.example.com. Per un certificato wildcard, usa *.example.com.
• Email Address: un indirizzo di contatto valido per la richiesta di certificato. Lascia vuoto se la tua CA non lo richiede.
• A challenge password e An optional company name: premi Invio per lasciare entrambi vuoti. Sono attributi legacy che le CA pubbliche ignorano.

Al termine del comando, avrai due file nella tua cartella di lavoro:

• prtg.key: la tua chiave privata RSA non crittografata. Conservala solo sul server PRTG e non condividerla né caricarla da nessuna parte.
• prtg.csr: la Certificate Signing Request da inviare alla tua CA.

Una nota sui Subject Alternative Names (SAN)

I prompt interattivi sopra raccolgono solo il Common Name. I browser moderni e i client TLS convalidano il nome host rispetto all’estensione Subject Alternative Name e ignorano il Common Name per le decisioni di fiducia. Le CA pubbliche aggirano questo problema copiando il CN in una voce SAN per gli ordini a nome singolo, quindi un CSR con un singolo hostname creato in questo modo funziona comunque.

Se hai bisogno di più di un hostname sullo stesso certificato (ad esempio prtg.example.com e monitor.example.com, o un certificato multi-dominio), il flusso interattivo non può codificarli. Tre opzioni:

• Su OpenSSL 1.1.1 o versioni successive, aggiungi i nomi in linea con -addext. Aggiungi -addext "subjectAltName = DNS:prtg.example.com, DNS:monitor.example.com" al comando openssl req sopra — senza bisogno di un file di configurazione.
• Aggiungi un piccolo file di configurazione OpenSSL che elenca le voci SAN, quindi indirizza openssl req ad esso con -config e -extensions v3_req. La configurazione imposta subjectAltName in una sezione [v3_req], ad esempio subjectAltName = DNS:prtg.example.com, DNS:monitor.example.com.
• Genera il CSR fuori dal server con il nostro CSR Generator, che crea una richiesta compatibile con SAN da un unico modulo.

Verifica il CSR prima di inviarlo

Vale la pena confermare il Common Name, la dimensione della chiave e l’algoritmo di firma prima di inviare la richiesta alla tua CA. Dallo stesso prompt di OpenSSL:

openssl req -noout -text -in prtg.csr

Dovresti vedere la riga del soggetto che hai inserito, una chiave pubblica RSA a 2048 bit e Signature Algorithm: sha256WithRSAEncryption. Per verificarlo online, incolla invece il contenuto del CSR nel nostro CSR Decoder e rileggi gli stessi campi.

Copia il CSR e invialo alla CA

Apri prtg.csr in Blocco note (o in qualsiasi editor di testo). Vedrai un blocco che inizia con cinque trattini, le parole BEGIN CERTIFICATE REQUEST, altri cinque trattini, poi testo in base64, e infine una riga END corrispondente:

-----BEGIN CERTIFICATE REQUEST-----
MIIC2TCCAcECAQAwgZMxCzAJBgNVBAYTAlVTMRAwDgYDVQQIDAdGbG9yaWRhMRAw
... (many lines of base64) ...
-----END CERTIFICATE REQUEST-----

Seleziona l’intero blocco (comprese le righe BEGIN CERTIFICATE REQUEST e END CERTIFICATE REQUEST, i cinque trattini su ciascun lato e ogni riga intermedia), copialo e incollalo nel campo CSR del modulo d’ordine della tua CA.

Quando la CA convalida la richiesta ed emette il tuo certificato, prosegui con come installare un certificato SSL su PRTG Network Monitor. Pianifica in anticipo due aspetti specifici che PRTG impone al momento dell’installazione: i tre file devono chiamarsi esattamente prtg.crt, prtg.key e root.pem, e i file PEM devono utilizzare terminazioni di riga Windows (CRLF), altrimenti il servizio PRTG Core Server si rifiuterà di avviarsi.