Come installare un certificato SSL su Ivanti Connect Secure (Pulse Secure) SSL VPN

Questa guida fornisce istruzioni passo passo su come installare un certificato SSL su Ivanti Connect Secure, l’appliance VPN SSL venduta per anni come Pulse Secure. Devi importare il certificato firmato nella console di amministrazione sotto System > Configuration > Certificates > Device Certificates, aggiungere i certificati intermedi in modo che la catena sia completa, e associare il risultato alle tue porte virtuali.

Una nota sulla denominazione, perché entrambe sono ancora in uso. Ivanti ha acquisito Pulse Secure il 1° dicembre 2020 e ha rinominato la gamma: Pulse Connect Secure è diventato Ivanti Connect Secure (ICS), e l’app desktop che la maggior parte delle persone chiamava Pulse Secure è ora l’Ivanti Secure Access Client. Per questo compito è cambiato solo il marchio. Il percorso dei menu, i nomi dei pulsanti e i passaggi riportati di seguito sono gli stessi, sia che la tua appliance mostri ancora il marchio Pulse su una build 9.1 o 22.x più vecchia, sia che mostri il nuovo marchio Ivanti.

Genera un codice CSR su Ivanti Connect Secure

Se hai già generato il codice CSR e ricevuto il certificato SSL dalla tua CA, salta questa sezione e passa direttamente a installare il certificato.

La creazione di una CSR (Certificate Signing Request) fa parte del processo di richiesta del certificato SSL. La CSR è un blocco di testo codificato che contiene il dominio che vuoi proteggere e l’organizzazione che lo possiede. Quando generi la CSR sull’appliance, questa crea anche la tua chiave privata e la conserva sul dispositivo, per cui il certificato firmato deve tornare alla stessa appliance e nella stessa richiesta in sospeso.

Hai due opzioni:

• Usa il nostro CSR Generator per creare la CSR automaticamente. Ti fornisce sia la CSR che la chiave privata corrispondente, che poi importerai insieme durante l’installazione.
• Segui il nostro tutorial passo passo su come generare una CSR su Ivanti Connect Secure, che mantiene la chiave privata sull’appliance.

Invia la CSR alla tua Certificate Authority durante l’ordine. Una volta che la CA la convalida ed emette il tuo certificato, continua con l’installazione descritta di seguito.

Installa un certificato SSL su Ivanti Connect Secure

Dopo che la CA firma il tuo certificato e invia i file alla tua casella di posta, scarica l’archivio ZIP ed estrai il suo contenuto sul tuo computer. I passaggi esatti riportati di seguito dipendono da dove hai generato la CSR, quindi segui il percorso che corrisponde alla tua situazione.

Se hai generato la CSR sull’appliance

1. Accedi alla console di amministrazione di Ivanti Connect Secure.
2. Vai su System > Configuration > Certificates > Device Certificates.
3. Sotto Certificate Signing Requests, clicca sul link Pending CSR corrispondente al certificato che vuoi installare.
4. In fondo alla nuova finestra, nella sezione Import signed certificate, clicca su Browse e seleziona il certificato che hai scaricato (in formato PKCS#7 o DER).
5. Clicca su Import.

Suggerimento: dopo aver importato un certificato in questo modo, salva una copia della configurazione del tuo sistema. Vai su Maintenance > Import/Export > Import/Export Configuration e clicca su Save Config As per scaricare il file system.cfg. Questo backup ti permette di ripristinare il certificato e la sua chiave privata, se dovesse essere necessario.

Se hai generato la CSR altrove

Se hai creato la CSR altrove (per esempio, con il nostro CSR Generator), dovrai importare il certificato insieme alla sua chiave privata:

1. Dalla pagina di stato del tuo certificato, clicca sul pulsante View certificate.
2. Nella nuova finestra, seleziona il formato di certificato desiderato (PKCS#7, ad esempio) e scarica il certificato.
3. Vai su System > Configuration > Certificates > Device Certificates e clicca su Import Certificate & Key.
4. Scegli come sono confezionati i tuoi file, quindi compila i campi:
   • Certificate file: il certificato firmato che hai scaricato.
   • Private key file: la chiave generata insieme alla CSR.
   • Password: la password della chiave o del PKCS#12, se il tuo file è protetto da una.
5. Clicca su Import.

Nota: se il certificato e la chiave sono combinati in un unico file PKCS#12 (.pfx o .p12), seleziona l’opzione If certificate file includes private key nella pagina di importazione. In questo caso fornisci un solo file più la sua password, lasciando vuoto il campo separato per la chiave.

Importa il certificato intermedio

Per presentare una catena completa affidabile per browser e client, importa i certificati intermedi (CA):

1. Nella console di amministrazione, seleziona System > Configuration > Certificates > Device Certificates e clicca sul link Intermediate Device CAs. Fai attenzione a usare questo e non Trusted Client CAs, che è l’elenco separato usato per convalidare i certificati presentati dai client, non per costruire la tua catena.
2. Clicca su Import CA Certificate e cerca il file del tuo certificato intermedio.
3. Clicca su Import Certificate.
4. Se la tua CA ha fornito più di un certificato intermedio, puoi caricarli in un unico file PEM oppure ripetere l’importazione per ciascuno. Ivanti documenta la catena inviata in ordine decrescente, a partire dal root, quindi mantieni i certificati in quell’ordine all’interno di un file combinato, senza modificarne la sequenza.

Assegna il certificato alle tue porte virtuali

Importare un certificato non lo rende operativo. L’ultimo passaggio è associarlo alle porte che gestiscono il traffico VPN, tipicamente le tue porte interne ed esterne:

1. Nel tuo elenco di certificati del dispositivo, fai doppio clic sul certificato vecchio che stai sostituendo.
2. Rimuovi l’associazione da qualsiasi porta a cui è assegnato, poi clicca su Save Changes.
3. Torna all’elenco e fai doppio clic sul nuovo certificato.
4. Seleziona e aggiungi le porte interne ed esterne rilevanti, poi clicca su Save Changes.

Una porta può servire un solo certificato del dispositivo alla volta, quindi disassociare prima il vecchio certificato è ciò che libera la porta per quello nuovo. Gli amministratori collegati tramite la porta che stai modificando potrebbero vedere la sessione interrompersi mentre l’appliance cambia i certificati, quindi esegui questa operazione in una finestra di manutenzione se la VPN è in uso.

Verifica l’installazione SSL

Dopo aver installato il certificato, esegui una scansione sull’hostname pubblico della tua VPN per confermare che il certificato venga servito correttamente e che la catena intermedia sia completa. Il nostro SSL Checker riporta il certificato, la catena e i protocolli offerti dall’appliance. Se il report indica che la catena è incompleta, il certificato intermedio è stato importato nell’elenco sbagliato oppure non è stato importato affatto: ripeti il passaggio Intermediate Device CAs descritto sopra.

Domande frequenti