Como Gerar um CSR no Sophos XG Firewall

Este guia mostra como gerar um CSR (Certificate Signing Request) no Sophos Firewall a partir da consola de administração web. O CSR é o ficheiro de que a sua Autoridade de Certificação necessita para emitir o seu certificado SSL/TLS, e a chave privada correspondente é criada na firewall ao mesmo tempo e nunca a abandona.

Nota sobre o nome: a Sophos XG Firewall foi rebatizada simplesmente para Sophos Firewall em 2021, a partir do Sophos Firewall OS (SFOS) v18.5 e dos aparelhos da série XGS. O sistema operativo continua a chamar-se SFOS. Os passos abaixo correspondem às versões atuais do SFOS (v19, v20 e v21); as compilações mais antigas v17.x usam um layout ligeiramente diferente, mas seguem a mesma lógica.

Gerar o CSR no Sophos Firewall

Também pode criar o CSR fora do aparelho com o nosso Gerador de CSR, mas nesse caso terá de importar posteriormente a chave privada para o Sophos como um ficheiro PKCS12 (.pfx/.p12). Gerá-lo diretamente na firewall mantém a chave no dispositivo e evita esse passo adicional.

Passo 1: Abra a página Certificates

Inicie sessão na consola de administração do Sophos Firewall e vá a Certificates > Certificates, depois clique em Add.

Utilize o separador Certificates, e não o separador Certificate Authorities. O seu certificado de servidor (folha) e o respetivo CSR pertencem a Certificates > Certificates. O separador Certificate Authorities serve apenas para importar certificados de CA (cadeia de confiança), por exemplo uma CA privada ou uma raiz/intermédia em que deseja que a firewall confie.

Passo 2: Escolha a ação do CSR

Em Action, selecione Generate certificate signing request (CSR). As outras opções (Upload certificate e Generate locally-signed certificate) servem para importar um certificado já emitido ou para criar um certificado autoassinado a partir da própria CA da firewall, nenhuma das quais é o que pretende aqui.

Passo 3: Preencha os detalhes do certificado

Em Certificate Details, complete os seguintes campos:

• Name: introduza um nome claro e fácil de identificar para poder reconhecer o CSR (e mais tarde o certificado) na firewall.
• Key type: escolha RSA para a maior compatibilidade, ou Elliptic curve para chaves mais pequenas e negociações mais rápidas, caso a sua CA o suporte.
• Key length (RSA): selecione 2048. Este é o mínimo que qualquer CA pública assina atualmente; 3072 ou 4096 são aceitáveis se a sua política o exigir.
• Curve name (Elliptic curve): uma curva P-256 ou P-384 é a escolha habitual.
• Secure hash: selecione SHA-256. Qualquer opção mais fraca (SHA-1, MD5) será rejeitada pelas CAs públicas.

Em Subject Name Attributes, forneça os dados da sua organização exatamente como aparecem nos registos oficiais. As CAs públicas verificam-nos junto de registos comerciais para certificados OV e EV, por isso erros de escrita ou abreviaturas causarão atrasos.

• Country name: selecione o seu país na lista pendente (por exemplo, Portugal).
• State: escreva o nome completo do estado, província ou região onde a empresa está registada. Não abrevie (por exemplo, Colúmbia Britânica, e não BC).
• Locality name: o nome completo da cidade ou localidade (por exemplo, Lisboa).
• Organization name: a designação legal completa da empresa proprietária do domínio (por exemplo, Sua Empresa, Lda.). Para um certificado DV pode colocar um nome pessoal, mas para OV/EV a entidade legal deve corresponder aos registos da empresa.
• Organization unit name: opcional. As CAs estão cada vez mais a remover este campo dos certificados emitidos, por isso é seguro deixá-lo em branco.
• Common name: o nome de domínio totalmente qualificado (FQDN) que está a proteger, por exemplo vpn.seudominio.com ou seudominio.com. Para um certificado wildcard, use *.seudominio.com.
• Email address: um endereço de contacto funcional. A CA poderá escrever para ele durante a validação.

Passo 4: Adicione os Subject Alternative Names (SAN)

Em Subject Alternative Names (SAN), adicione todos os nomes de anfitrião ou endereços IP que o certificado precisa de abranger. Os navegadores e os clientes modernos ignoram o Common Name e comparam apenas com os SANs, por isso um SAN em falta é o motivo mais comum para um certificado “funcionar” na firewall mas apresentar um erro de correspondência de nome no navegador.

• Repita o valor que utilizou no Common Name como primeira entrada SAN. A maioria das CAs públicas exige isto.
• Adicione quaisquer outros nomes de anfitrião de que necessite (por exemplo, portal.seudominio.com, vpn.seudominio.com) se tiver encomendado um certificado multidomínio (SAN).
• Para um wildcard, o SAN pode ser *.seudominio.com (e geralmente também seudominio.com).

Em compilações mais antigas do SFOS que não apresentam o campo SAN, abra Advanced settings e utilize antes o campo Certificate ID, com o tipo DNS selecionado para nomes de anfitrião.

Passo 5: Guarde e descarregue o CSR

Clique em Save. O Sophos Firewall gera o CSR e a respetiva chave privada correspondente no aparelho, e a nova entrada aparece na lista Certificates com CSR indicado na coluna Type.

Para descarregar o CSR, encontre a sua entrada pelo Name que atribuiu, e depois clique no ícone de download na coluna Manage. A firewall guarda um ficheiro .csr no seu computador. Pode abri-lo com qualquer editor de texto (Notepad, TextEdit, VS Code) para copiar o bloco Base64, que se apresenta assim:

-----BEGIN CERTIFICATE REQUEST-----
MIIC...
...
-----END CERTIFICATE REQUEST-----

Antes de o enviar à Autoridade de Certificação, cole o bloco na nossa ferramenta CSR Decoder para confirmar se o Common Name, os SANs, o tamanho da chave e os campos da organização correspondem ao que pretendia. Detetar aqui um CSR incorreto evita mais tarde um pedido de reemissão.

Submeta o CSR e instale o certificado

Durante o processo de compra (ou posteriormente na sua conta da CA), cole o bloco Base64 completo, incluindo as linhas BEGIN e END, no campo do CSR. Depois de a CA validar o seu pedido e emitir o certificado, importa os ficheiros emitidos de volta para o Sophos Firewall em Certificates > Certificates > Add > Upload certificate. O procedimento completo de importação encontra-se no nosso guia complementar sobre como instalar um certificado SSL no Sophos Firewall.

Importante: como a chave privada foi gerada nesta firewall, instale o certificado emitido no mesmo aparelho. Se mudar para uma firewall diferente, gere novamente o CSR nela ou substitua a chave (rekey) do certificado; caso contrário, o certificado não terá uma chave correspondente no novo dispositivo.

Perguntas Frequentes