Come installare un certificato SSL su Checkpoint VPN

Questo tutorial mostra come installare un certificato SSL su un gateway VPN Check Point e come generare il CSR (Certificate Signing Request) necessario.

Check Point funziona in modo leggermente diverso rispetto alla maggior parte degli apparati: il certificato è associato all’oggetto Security Gateway e viene applicato tramite il client di gestione, e la catena della CA emittente deve essere considerata attendibile prima che il certificato del server possa essere convalidato.

Nel corso degli anni Check Point ha cambiato i propri strumenti di gestione. Su R80, R81.10, R81.20 e R82 (le versioni attualmente supportate in produzione) si gestisce tutto tramite SmartConsole. Sulle installazioni legacy R77.x e precedenti si usa il client standalone SmartDashboard. Questa guida parte dal flusso di lavoro attuale con SmartConsole e riserva i passaggi legacy di SmartDashboard alla fine, per i gateway più datati.

Prima dei passaggi, due definizioni rapide. Un certificato radice viene emesso da una Certificate Authority attendibile e si trova al vertice della catena di fiducia; è già presente nell’archivio delle radici attendibili del browser. Un certificato intermedio è firmato da tale radice ed è quello che effettivamente emette il vostro certificato server (entità finale). L’intermedio aggiunge un livello di sicurezza, poiché la firma quotidiana non avviene mai direttamente dalla radice. Check Point necessita di entrambi per poter costruire e convalidare la catena completa.

Passo 1: Ottenere i certificati radice e intermedio

Con la maggior parte delle piattaforme, si genera prima il CSR e si ricevono tutti i file successivamente, una volta che la CA convalida la richiesta. Check Point è più flessibile: si può considerare attendibile la catena della CA in anticipo, il che rende più semplice l’installazione del certificato server finale. Chiedete al vostro fornitore SSL o alla CA i certificati radice e intermedio della CA in formato X.509 / PEM (Base64). Si tratta di certificati pubblici, quindi qualsiasi CA può fornirli su richiesta, e sono anche pubblicati nel repository della CA.

Un certificato PEM è un blocco di testo semplice che inizia con —–BEGIN CERTIFICATE—– e termina con —–END CERTIFICATE—–. Salvate ogni certificato nel proprio file di testo con estensione .crt. Potete creare i file con qualsiasi editor di testo semplice, come Blocco note. Non usate un elaboratore di testi, che potrebbe aggiungere formattazioni invisibili in grado di danneggiare il file.

Nota: alcune CA utilizzano due certificati intermedi per una compatibilità più ampia. Salvate ciascuno come file .crt separato e aggiungeteli singolarmente.

Passo 2: Rendere attendibili i certificati radice e intermedio

Nelle versioni attuali basate su SmartConsole, non è necessario importare la catena tramite una finestra di dialogo separata come richiedeva il vecchio SmartDashboard. Invece, unirete la catena completa insieme al certificato server più avanti, nel Passo 4, in modo che il gateway riceva il certificato e i suoi emittenti in un unico file. Tenete pronti i file .crt del Passo 1. Vi serviranno per assemblare quel pacchetto.

Se usate questi certificati anche altrove (ad esempio per convalidare peer di terze parti in una VPN site-to-site), potete aggiungerli come CA attendibili in SmartConsole sotto Security Policies > Access Tools > Trusted CAs, quindi Install Policy. Per il certificato del portale Mobile Access / VPN trattato qui, il metodo supportato è l’inclusione della catena nel Passo 4.

State usando un gateway legacy R77.x con il client standalone SmartDashboard? Usate la procedura legacy di SmartDashboard alla fine di questo tutorial, che importa esplicitamente le CA radice e intermedio sotto Servers > Trusted CAs.

Passo 3: Generare il CSR su Check Point

Su R80 e versioni successive, Check Point genera il CSR e la chiave privata del certificato server del portale dalla riga di comando sul gateway, usando il proprio wrapper OpenSSL integrato. Connettetevi al gateway via SSH, entrate in modalità Expert ed eseguite quanto segue, sostituendo i nomi dei file con i vostri:

cpopenssl req -new -out /home/admin/yourwebsite.csr -keyout /home/admin/yourwebsite.key -config $CPDIR/conf/openssl.cnf

OpenSSL vi chiede una password per proteggere la chiave privata, quindi i campi del soggetto del certificato. Compilateli con attenzione. Il Common Name deve essere il nome di dominio completo (FQDN) che gli utenti digitano per raggiungere la VPN/il portale:

• Common Name (CN), l’FQDN che volete proteggere, ad esempio vpn.yourwebsite.com. Per un certificato wildcard, mettete un asterisco davanti al dominio, ad esempio *.yourwebsite.com.
• Organizational Unit (OU), l’unità che richiede il certificato, ad esempio IT o Web Administration.
• Organization (O), la ragione sociale completa della vostra azienda, ad esempio GPI Holding LLC.
• Locality (L), il nome completo della città in cui è registrata la vostra azienda, ad esempio San Jose.
• State (ST), il nome completo dello stato o della regione, ad esempio California.
• Country (C), il codice paese a due lettere, ad esempio US. Potete trovare l’elenco completo dei codici paese online.

Il file CSR risultante contiene i vostri dati in un’unica stringa soggetto (DN) simile a questa:

CN=vpn.yourwebsite.com, OU=IT, O=Your Company Name, L=City, ST=State, C=Country

Aprite il file .csr in un editor di testo e copiate l’intero contenuto, comprese le righe —–BEGIN CERTIFICATE REQUEST—– e —–END CERTIFICATE REQUEST—–. Questo CSR va inviato durante l’ordine SSL. Conservate al sicuro sul gateway il file di chiave privata .key corrispondente. Non dovete perderlo e non dovete mai condividerlo.

Suggerimento: se preferite non toccare la riga di comando, potete generare il CSR con il nostro CSR Generator gratuito e conservare la chiave privata che produce. In entrambi i casi, il CSR è ciò di cui la vostra CA ha bisogno per emettere il certificato.

Passo 4: Installare il certificato SSL su Check Point VPN

Al termine della convalida, la vostra CA vi invia via email il certificato server emesso, solitamente in un archivio ZIP insieme alla catena. Per importarlo tramite SmartConsole avete bisogno di tutto in un unico file .p12 (PKCS#12): il certificato server, la sua chiave privata e i certificati intermedio e radice. Se avete gli elementi come file separati, combinateli con OpenSSL del gateway eseguendo questo comando in modalità Expert:

cpopenssl pkcs12 -export -out /home/admin/yourwebsite.p12 -inkey /home/admin/yourwebsite.key -in /home/admin/yourwebsite.crt -certfile /home/admin/chain.crt

Qui yourwebsite.crt è il vostro certificato server, yourwebsite.key è la chiave privata del Passo 3, e chain.crt sono i certificati intermedio e radice concatenati in un unico file (prima l’intermedio, poi la radice). OpenSSL vi chiede di impostare una password di esportazione; la digiterete nuovamente durante l’importazione. Con il file .p12 pronto, installatelo:

1. Aprite SmartConsole e andate su Gateways & Servers nella navigazione a sinistra.
2. Fate doppio clic sull’oggetto Security Gateway (o cluster) per modificarlo.
3. Nel pannello a sinistra, aprite la lama che serve il vostro portale: Mobile Access > Portal Settings per il portale VPN Mobile Access, oppure Platform Portal per il portale di gestione Gaia.
4. Nella sezione Certificate, fate clic su Import or Replace.
5. Sfogliate fino al vostro file .p12, inserite la password di esportazione impostata e confermate. SmartConsole legge il certificato, la chiave e la catena dal file.
6. Fate clic su OK per chiudere l’oggetto gateway.
7. Fate clic su Install Policy e distribuite la policy al gateway affinché il nuovo certificato diventi effettivo.

Congratulazioni, avete installato un certificato SSL sulla vostra VPN Check Point. Dopo l’installazione della policy, il gateway presenta il nuovo certificato sull’URL del portale.

Metodo legacy: SmartDashboard (R77.x e versioni precedenti)

Se utilizzate ancora un gateway più datato gestito dal client standalone SmartDashboard, il certificato viene generato e installato interamente nell’interfaccia grafica. Per prima cosa, importate la catena della CA:

1. Accedete a SmartDashboard. Nella scheda Servers and OPSEC Applications, andate su Servers > Trusted CAs, fate clic destro e scegliete New CA > Trusted.
2. Nella scheda General della finestra Certificate Authority Properties, inserite un Name e, facoltativamente, un Comment, quindi continuate.
3. Nella scheda OPSEC PKI, sotto Retrieve CRL from, lasciate selezionata solo l’opzione HTTP Server(s).
4. Sotto Certificate, accanto a Get the CA certificate from a file, fate clic su Get, sfogliate fino al vostro file root.crt e fate clic su OK.
5. Ripetete i passaggi precedenti per il file intermediate.crt. Quindi aprite Servers > Trusted CAs e verificate che entrambe le CA siano elencate.

Successivamente, generate il CSR e installate il certificato:

1. Espandete Network Objects, fate clic destro sul vostro gateway/cluster Check Point e scegliete Edit.
2. In Gateway Cluster Properties, selezionate VPN nel pannello a sinistra e fate clic su Add.
3. Inserite un Certificate Nickname e, dal menu a tendina CA to enroll from, selezionate la CA intermedia importata in precedenza. Fate clic su Generate, quindi su Yes.
4. Nel campo DN della finestra Generate Certificate Request, digitate i vostri dati come un’unica stringa separata da virgole, ad esempio CN=vpn.yourwebsite.com, OU=IT, O=Your Company Name, L=City, ST=State, C=Country, e fate clic su OK.
5. Tornate sotto VPN, fate clic su View per vedere il CSR, quindi su Save to File per esportarlo. Inviate quel CSR alla vostra CA.
6. Quando arriva il certificato firmato, modificate nuovamente il gateway, selezionate VPN, scegliete lo stesso nickname e fate clic su Complete. Sfogliate fino al vostro certificato server, fate clic su Open, esaminate i dettagli e fate clic su OK. Quindi installate la policy.

Qualunque metodo usiate, pianificate in anticipo: il vecchio client SmartDashboard di Check Point non è disponibile nelle versioni attuali, quindi se siete ancora su R77.x, considerate l’aggiornamento a una versione supportata come parte del ciclo di vita del vostro certificato.

Testare l’installazione SSL

Anche dopo un’installazione pulita, possono persistere lacune di configurazione, come un intermedio mancante o un protocollo debole. Eseguite una rapida diagnostica per assicurarvi che il gateway serva la catena completa e una configurazione TLS moderna. Il controllo più rapido consiste nell’aprire l’URL della VPN/del portale in un browser e ispezionare il lucchetto, ma uno scanner dedicato è più approfondito.

Usate il nostro SSL checker gratuito per generare un report istantaneo sul vostro certificato, sulla catena e sui protocolli supportati. Se avete OpenSSL sulla vostra macchina, potete anche interrogare il gateway direttamente. Sostituite con il vostro host e la porta del portale (il portale Mobile Access solitamente ascolta sulla 443):

echo | openssl s_client -connect vpn.yourwebsite.com:443 -servername vpn.yourwebsite.com 2>/dev/null | openssl x509 -noout -issuer -subject -dates

Se il certificato è attivo, questo comando stampa l’emittente, il soggetto e le date di validità. Una catena completa e un FQDN corrispondente significano che l’installazione è pronta.

Dove acquistare il miglior certificato SSL per Check Point VPN?

Quando acquistate un certificato SSL, valutate tre aspetti: tipo di convalida, prezzo e assistenza. Su SSL Dragon offriamo l’intera gamma di certificati SSL a prezzi competitivi, supportati da un servizio clienti a cinque stelle. I nostri certificati sono firmati da rinomate Certificate Authority, quindi sono compatibili con la maggior parte degli apparati VPN, incluso Check Point. Che abbiate bisogno di un certificato Domain Validation economico o di un prodotto Extended Validation premium, siamo in grado di soddisfare le vostre esigenze.

I prezzi di SSL Dragon sono tra i più competitivi sul mercato, e il nostro team di assistenza dedicato è molto apprezzato dai clienti esistenti.

Non siete sicuri di quale certificato scegliere? Usate il nostro strumento SSL Wizard per trovare il prodotto ideale per la vostra implementazione Check Point.

Domande frequenti