Come installare un certificato SSL su SonicWall

In questo tutorial imparerai come installare un certificato SSL su SonicWall (SonicOS). Su un firewall SonicWall si importa il certificato come un unico bundle PKCS#12 che contiene il certificato, la sua chiave privata e la catena CA, per poi assegnarlo ai servizi che ne hanno bisogno: la pagina di gestione web amministrativa e/o il portale SSL VPN.

Genera un codice CSR su SonicWall

Se hai già richiesto il tuo certificato SSL e ricevuto i file SSL, salta la sezione CSR e vai direttamente ai passaggi di installazione.

CSR è l’acronimo di Certificate Signing Request, un blocco di testo codificato che contiene i dati di contatto e di dominio necessari alla Certificate Authority (CA) per verificare le tue credenziali prima di emettere il certificato. Generando il CSR viene creata anche la relativa chiave privata; insieme, CSR e chiave privata formano la coppia di chiavi del certificato SSL. Hai due opzioni:

• Usa il nostro CSR Generator per creare il CSR automaticamente. Questo è il metodo più semplice e produce un file CSR e un file di chiave privata che puoi scaricare e conservare insieme.
• Segui il nostro tutorial passo-passo su come generare un CSR su SonicWall.

Indipendentemente dal metodo utilizzato, invia il CSR alla Certificate Authority durante l’ordine. Conserva la chiave privata in un luogo sicuro e insieme al CSR, perché ti servirà in seguito per creare il file PKCS#12. Dopo che la CA ha validato la richiesta ed emesso il certificato, prosegui con l’installazione descritta di seguito.

Nota: i firewall SonicWall importano il certificato insieme alla sua chiave privata come un unico file PKCS#12, quindi generare il CSR e la chiave fuori dal dispositivo (con il nostro generatore o con OpenSSL) semplifica tutto il processo. Se hai generato il CSR su un sistema diverso, non è un problema; assicurati solo di avere ancora la chiave privata creata insieme ad esso.

Installa un certificato SSL su SonicWall

Dopo che la CA emette il tuo certificato, scarica l’archivio ZIP ed estrailo sul tuo computer. Dovresti avere il tuo certificato primario (server), uno o più certificati intermedi (CA) e la chiave privata generata con il CSR. I passaggi seguenti corrispondono a SonicOS 7.x; i nomi dei menu per il firmware 6.5 più vecchio sono indicati dove differiscono.

Passaggio 1: crea un file PKCS#12 (.pfx) dal tuo certificato e dalla chiave

SonicWall importa un certificato di terze parti e la sua chiave privata come un unico file PKCS#12 (estensione .pfx o .p12). Se la tua CA ti ha già fornito un file .pfx, passa al Passaggio 2. Altrimenti, combina la tua chiave privata, il certificato server e la catena CA in un unico file .pfx con OpenSSL:

openssl pkcs12 -export -out sonicwall.pfx -inkey server.key -in server.crt -certfile ca-bundle.crt

Sostituisci server.key con la tua chiave privata, server.crt con il certificato emesso e ca-bundle.crt con il file contenente i certificati intermedi (e root). OpenSSL ti chiederà di impostare una password di esportazione; ricordala, perché SonicWall richiederà la stessa password quando importerai il file. Se la tua chiave privata non ha un file di catena, puoi omettere la parte -certfile, ma inserire ora la catena nel bundle è ciò che previene gli avvisi di fiducia del browser in seguito.

Su Windows non hai bisogno di OpenSSL. Se il certificato è stato emesso su una macchina Windows, apri lo snap-in Certificati (Computer locale) in mmc, trova il certificato e scegli Tutte le attività > Esporta, selezionando Sì, esporta la chiave privata per produrre un file .pfx.

Passaggio 2: apri la pagina Certificati in SonicOS

Accedi all’interfaccia di gestione SonicWall come amministratore. In SonicOS 7.x, vai su Device > Settings > Certificates. Su SonicOS 6.5, nella vista Manage, il percorso è Manage > Appliance > Certificates, mentre sui firmware legacy più vecchi è System > Certificates. La pagina elenca tutti i certificati attualmente presenti sul dispositivo nella tabella dei certificati.

Passaggio 3: importa il certificato PKCS#12

Fai clic su Import per aprire la finestra di dialogo Import Certificate. Seleziona l’opzione Import a local end-user certificate with private key from a PKCS#12 (.p12 or .pfx) encoded file. Poi compila i campi:

• In Certificate Name, digita un’etichetta che riconoscerai in seguito, ad esempio il tuo nome di dominio.
• In Certificate Management Password, inserisci la password di esportazione impostata quando hai creato il file .pfx al Passaggio 1.
• Fai clic su Browse (chiamato Choose File o Add File in alcune build), seleziona il tuo file .pfx e confirma.

Fai clic su Import per caricare il certificato sul firewall. Se l’operazione riesce, la nuova voce apparirà nella tabella dei certificati e il suo stato mostrerà che il certificato è associato a una chiave privata. Poiché hai inserito la catena nel file .pfx, i certificati intermedi vengono importati insieme ad esso, quindi di solito non hai bisogno di un’importazione CA separata. Se la tua CA ha fornito la catena separatamente e vuoi importarla singolarmente, usa nuovamente Import e scegli Import a CA certificate from a PKCS#7 (.p7b), PEM (.pem), or DER (.der or .cer) encoded file.

Passaggio 4: applica il certificato dove necessario

L’importazione del certificato non lo attiva automaticamente; devi assegnarlo a un servizio. Scegli quello che si applica al tuo caso.

Per la pagina di login amministrativa di SonicWall (gestione HTTPS): vai su Device > Settings > Administration e apri la scheda Management (su SonicOS 6.5, Manage > Appliance > Base Settings). Nel menu a discesa Certificate Selection, seleziona il certificato appena importato, quindi fai clic su Accept. Perché il browser possa considerare attendibile la pagina di gestione senza mostrare un avviso, il nome comune del certificato (o una voce SAN) deve corrispondere all’hostname utilizzato per raggiungere il firewall, quindi usa un FQDN piuttosto che il semplice indirizzo IP.

Per l’accesso remoto SSL VPN: vai su Network > SSL VPN > Server Settings. Nel menu a discesa Certificate Selection (che per impostazione predefinita è impostato su Use Self-signed Certificate), seleziona il certificato importato, quindi fai clic su Accept. Questo è il certificato che gli utenti vedono quando si connettono al portale SSL VPN, quindi un certificato pubblicamente attendibile elimina l’avviso generato dal certificato autofirmato predefinito.

Passaggio 5: riavvia il servizio interessato

SonicOS applica il nuovo certificato non appena fai clic su Accept, e il servizio di gestione o SSL VPN riavvia il proprio listener HTTPS. La sessione del browser verso la pagina di amministrazione potrebbe interrompersi brevemente mentre il dispositivo cambia certificato; accedi nuovamente utilizzando l’hostname che corrisponde al certificato. Se un servizio non recepisce il nuovo certificato, disattivalo e riattivalo, oppure riavvia il firewall durante una finestra di manutenzione da Device > Settings > Restart (SonicOS 6.5: Manage > Appliance > Restart).

Ecco fatto. Il tuo certificato SSL è ora installato e attivo su SonicWall.

Testa la tua installazione SSL

Dopo aver installato il certificato su SonicWall, esegui una scansione SSL sull’hostname e sulla porta pubblici (la pagina di gestione o il portale SSL VPN) per confermare che il certificato e la catena vengano forniti correttamente e per individuare eventuali errori. Per farlo, usa il nostro SSL Checker per testare il tuo certificato SSL.

Puoi anche verificare che il certificato sia presente e corretto sul dispositivo: apri Device > Settings > Certificates, seleziona la voce e visualizza i suoi dettagli per controllare l’emittente, il nome comune e le date di validità, così puoi essere certo che sia stato installato il certificato giusto e che non sia scaduto.

Domande Frequenti