Como Gerar um CSR no NetScaler

Este guia mostra como gerar um CSR (Certificate Signing Request) no NetScaler, o balanceador de carga e controlador de entrega de aplicações anteriormente vendido como Citrix ADC. Você vai criar uma chave privada RSA, construir o CSR com as entradas correspondentes de Distinguished Name e Subject Alternative Name, copiar o pedido codificado e enviá-lo à sua Autoridade de Certificação. O mesmo fluxo funciona na interface gráfica do NetScaler na versão atual 14.1 LTS e na 13.1, que atinge o fim da manutenção em 15 de setembro de 2026 e o fim de vida em 15 de setembro de 2027; a secção opcional de CLI no final funciona em qualquer versão moderna.

Nota sobre o nome: o produto foi originalmente chamado de NetScaler, rebatizado para Citrix ADC em 2018, e depois renomeado novamente para NetScaler em outubro de 2022, quando a Cloud Software Group separou o NetScaler como uma marca independente. Ainda pode encontrar “Citrix ADC” em firmwares, menus e documentação mais antigos; os passos de CSR abaixo são idênticos para ambos os nomes.

Inicie sessão no appliance NetScaler (MPX, SDX, VPX ou CPX) como um utilizador com permissões de escrita em /nsconfig/ssl/ e siga os passos pela ordem indicada.

Passo 1: Criar a chave privada RSA

O NetScaler guarda a chave privada como um ficheiro em /nsconfig/ssl/ e refere-se a ela pelo nome ao construir o CSR e, posteriormente, ao instalar o certificado emitido. Crie primeiro a chave:

• Na interface gráfica, vá a Configuration > Traffic Management > SSL > SSL Files.
• Abra o separador SSL Keys e clique em Create RSA Key.

Preencha a janela Create RSA Key:

• Key Filename: um nome para o ficheiro da chave, por exemplo yourdomain-2026.key. O NetScaler grava-o em /nsconfig/ssl/ por predefinição.
• Key Size (bits): 2048 é o mínimo atual aceite por praticamente todas as CAs públicas. Escolha 3072 ou 4096 apenas se a sua política de segurança exigir uma chave maior; a contrapartida é um handshake TLS ligeiramente mais pesado.
• Public Exponent Value: F4 (0x10001), o valor padrão usado por praticamente todos os certificados RSA na web.
• Key Format: PEM.
• PEM Encoding Algorithm: deixe em branco para uma chave não encriptada. O menu suspenso oferece AES 256, DES e DES3; o AES 256 é a única opção moderna das três, já que DES e DES3 são algoritmos legados. Qualquer que seja a sua escolha, o NetScaler vai exigir que introduza (e reintroduza) uma frase-passe a cada reinício e sempre que referenciar a chave, o que raramente compensa num appliance que você próprio administra. Deixe em branco, salvo indicação em contrário na sua política.
• PEM Passphrase e Confirm PEM Passphrase: apenas necessário se escolheu um daqueles algoritmos de encriptação acima.

Clique em OK e depois em Close. A chave já existe em /nsconfig/ssl/ no appliance e está pronta para ser associada a um CSR.

Se preferir uma chave ECDSA (mais pequena, mais rápida e suportada em todos os navegadores atuais), use a CLI: create ssl ecdsakey yourdomain-2026.key -curve P_256. A curva ECDSA P-256 é a escolha comum; a P-384 se quiser uma curva maior.

Passo 2: Abrir a janela Create CSR

Ainda em Configuration > Traffic Management > SSL > SSL Files, abra o separador CSRs e clique em Create Certificate Signing Request (CSR). A janela Create Certificate Signing Request (CSR) abre-se.

Passo 3: Preencher os campos de ficheiro e chave

• Request File Name: um nome para o ficheiro CSR, por exemplo yourdomain-2026.csr. O NetScaler grava-o em /nsconfig/ssl/ por predefinição.
• Key Filename: clique em Browse, altere o menu suspenso de origem para Appliance e selecione a chave criada no Passo 1 (por exemplo yourdomain-2026.key). Clique em Select e depois em Open.
• Key Format: PEM.
• PEM Passphrase (For Encrypted Key): apenas se a chave RSA tiver uma frase-passe definida. Caso contrário, deixe em branco.
• Digest Method: selecione SHA256. O SHA-1 está obsoleto e é rejeitado por todas as CAs públicas; não o selecione.

Passo 4: Preencher os campos do Distinguished Name

Use apenas caracteres ASCII padrão em todos os campos; letras não latinas ou com acentos invalidam o pedido:

• Country: escolha o código ISO de duas letras do país onde a sua organização está registada (por exemplo US, GB, DE).
• State or Province: o nome completo do estado ou província (por exemplo Washington, e não WA).
• Organization Name: o nome legal completo da sua empresa, exatamente como está registado. Obrigatório para certificados OV e EV. Para certificados de Validação de Domínio (DV) este campo é ignorado, pelo que um valor curto de preenchimento funciona.
• Organization Unit: uma designação de departamento como IT. O CA/Browser Forum tem vindo a eliminar este atributo para certificados públicos, por isso deixe em branco quando o formulário o permitir.
• City or Locality: o nome completo da cidade onde a sua organização está registada (por exemplo Seattle, e não SEA).
• Common Name: o nome de domínio totalmente qualificado (FQDN) que deseja proteger, por exemplo www.example.com. Para um certificado wildcard, coloque um asterisco antes do domínio raiz, por exemplo *.example.com.
• Email Address: opcional. As CAs públicas já não usam este campo para a emissão de SSL/TLS; pode deixá-lo em branco.
• Challenge Password e Company Name: atributos legados opcionais. As CAs públicas ignoram ambos; deixe em branco.

Passo 5: Adicionar o Subject Alternative Name (SAN)

Os navegadores e clientes modernos (Chromium, Firefox, Safari, .NET, Java, Go) validam o nome do host apenas em relação à extensão Subject Alternative Name; o Common Name já não é usado para decisões de confiança desde 2017. As CAs públicas copiam o CN automaticamente para uma entrada SAN em pedidos de nome único, por isso um pedido apenas com CN ainda é emitido, mas se precisar de vários nomes de host num único certificado (por exemplo example.com e www.example.com, ou um certificado multidomínio) tem de os adicionar explicitamente.

• Abra a secção Subject Alternative Name (SAN) da janela.
• Adicione uma entrada por nome de host, prefixada com DNS:, por exemplo DNS:www.example.com e DNS:example.com.
• Para acesso baseado em IP (raro em certificados públicos), use o prefixo IP:, por exemplo IP:192.0.2.10. As CAs públicas só emitem para IPs que conseguem validar. O NetScaler documenta uma ressalva aqui: o appliance processa apenas valores SAN baseados em DNS, portanto uma entrada IP ainda é incluída no CSR e no certificado emitido, mas o appliance não a usa ao associar um certificado a um pedido entrante.

Se o campo Subject Alternative Name (SAN) não estiver disponível na sua versão, o comando via CLI expõe-o em todas as versões (veja a alternativa via CLI no final deste guia).

Passo 6: Gerar o CSR

Reveja cuidadosamente todos os campos e clique em Create (versões mais antigas: OK). Clique em Close. O NetScaler grava o CSR em /nsconfig/ssl/ no appliance e mantém a chave privada correspondente junto a ele.

Passo 7: Copiar o CSR e submetê-lo à sua CA

• Vá a Configuration > Traffic Management > SSL.
• Na página principal, em Tools, clique em Manage Certificates / Keys / CSRs.
• Localize o seu ficheiro yourdomain-2026.csr na lista e clique em View.

O CSR é um bloco de texto em base64 semelhante a este:

-----BEGIN CERTIFICATE REQUEST-----
MIIDXjCCAkYCAQAwgZQxCzAJBgNVBAYTAlVTMRMwEQYDVQQIDApXYXNoaW5ndG9u
... (many lines of base64) ...
-----END CERTIFICATE REQUEST-----

Selecione o bloco completo, incluindo as linhas -----BEGIN CERTIFICATE REQUEST----- e -----END CERTIFICATE REQUEST-----, copie-o e cole-o no campo CSR do seu formulário de pedido. Aguarde que a CA valide o pedido e emita o certificado. Quando os ficheiros SSL chegarem à sua caixa de entrada, siga o guia como instalar um certificado SSL no NetScaler para concluir a implementação.

Verifique o CSR antes de o submeter (opcional)

Vale a pena confirmar o Common Name, as entradas SAN e o tamanho da chave antes de enviar o pedido à sua CA. Cole o conteúdo do pedido no decodificador de CSR da SSL Dragon para ler novamente todos os campos. Confirme que o Common Name corresponde ao nome de host que os clientes irão usar e que todos os nomes necessários aparecem na lista Subject Alternative Name. Erros nesta fase são fáceis de corrigir; erros após a emissão implicam uma reemissão.

Gerar o CSR a partir da CLI (opcional)

Se preferir a linha de comandos (ou se a sua versão ocultar o campo SAN na interface gráfica), ligue-se ao appliance via SSH e execute os comandos equivalentes. Substitua os nomes e valores dos campos pelos seus próprios:

create ssl rsakey /nsconfig/ssl/yourdomain-2026.key 2048 -exponent F4

create ssl certReq /nsconfig/ssl/yourdomain-2026.csr 
  -keyFile /nsconfig/ssl/yourdomain-2026.key 
  -countryName US 
  -stateName Washington 
  -organizationName "Example Inc" 
  -localityName Seattle 
  -commonName www.example.com 
  -subjectAltName "DNS:www.example.com DNS:example.com" 
  -digestMethod SHA256

Notas sobre os valores:

• As continuações de linha () servem para facilitar a leitura; pode executar o comando create ssl certReq numa única linha, se preferir.
• -subjectAltName aceita uma única cadeia entre aspas com entradas separadas por espaços; o formato é DNS:hostname (ou IP:address).
• Para uma chave ECDSA, substitua a linha create ssl rsakey por create ssl ecdsakey /nsconfig/ssl/yourdomain-2026.key -curve P_256 e mantenha o resto do comando igual.
• Para ler o CSR novamente na linha de comandos, execute cat /nsconfig/ssl/yourdomain-2026.csr na shell do appliance.