Como Instalar um Certificado SSL no Checkpoint VPN

Este tutorial mostra como instalar um certificado SSL em um gateway VPN Check Point e como gerar o CSR (Certificate Signing Request) necessário.

O Check Point funciona de forma um pouco diferente da maioria dos appliances: o certificado é vinculado ao objeto Security Gateway e aplicado através do cliente de gerenciamento, e a cadeia da CA emissora precisa ser confiável antes que o certificado do servidor seja validado.

O Check Point mudou suas ferramentas de gerenciamento ao longo dos anos. No R80, R81.10, R81.20 e R82 (as versões atualmente com suporte em produção), tudo é gerenciado a partir do SmartConsole. Em implantações legadas com R77.x e versões anteriores, utiliza-se o cliente autônomo SmartDashboard. Este guia apresenta primeiro o fluxo de trabalho atual do SmartConsole e deixa as etapas do SmartDashboard legado no final, para gateways mais antigos.

Antes das etapas, duas definições rápidas. Um certificado raiz é emitido por uma Autoridade Certificadora confiável e fica no topo da cadeia de confiança; ele já vem incluído no repositório de raízes confiáveis do navegador. Um certificado intermediário é assinado por essa raiz e é ele que efetivamente emite o seu certificado de entidade final (servidor). O intermediário adiciona uma camada de segurança, pois a assinatura do dia a dia nunca acontece diretamente pela raiz. O Check Point precisa de ambos para construir e validar a cadeia completa.

Etapa 1: Obtenha os certificados raiz e intermediário

Na maioria das plataformas, você gera o CSR primeiro e recebe todos os arquivos depois, assim que a CA validar sua solicitação. O Check Point é mais flexível: você pode confiar na cadeia da CA primeiro, o que torna a instalação do certificado final do servidor mais simples. Peça ao seu fornecedor de SSL ou CA os certificados raiz e intermediário da CA no formato X.509 / PEM (Base64). Esses são certificados públicos, portanto qualquer CA pode fornecê-los mediante solicitação, e eles também estão publicados no repositório da CA.

Um certificado PEM é um bloco de texto simples que começa com —–BEGIN CERTIFICATE—– e termina com —–END CERTIFICATE—–. Salve cada certificado em seu próprio arquivo de texto com a extensão .crt. Você pode criar os arquivos em qualquer editor de texto simples, como o Bloco de Notas. Não use um processador de texto, pois ele pode adicionar formatação invisível que corrompe o arquivo.

Observação: algumas CAs usam dois certificados intermediários para maior compatibilidade. Salve cada um como um arquivo .crt separado e adicione-os individualmente.

Etapa 2: Confie nos certificados raiz e intermediário

Nas versões atuais baseadas no SmartConsole, não é necessário importar a cadeia através de uma caixa de diálogo separada, como exigia o antigo SmartDashboard. Em vez disso, você reúne a cadeia completa junto com o certificado do servidor mais tarde, na Etapa 4, para que o gateway receba o certificado e seus emissores em um único arquivo. Mantenha os arquivos .crt da Etapa 1 prontos. Você precisará deles para montar esse pacote.

Se você também usa esses certificados em outros lugares (por exemplo, para validar peers de terceiros em uma VPN site a site), pode adicioná-los como CAs confiáveis no SmartConsole em Security Policies > Access Tools > Trusted CAs, e depois clicar em Install Policy. Para o certificado do portal Mobile Access / VPN abordado aqui, agrupar a cadeia na Etapa 4 é a abordagem suportada.

Está executando um gateway legado R77.x com o cliente autônomo SmartDashboard? Use o procedimento legado do SmartDashboard no final deste tutorial, que importa as CAs raiz e intermediária explicitamente em Servers > Trusted CAs.

Etapa 3: Gere o CSR no Check Point

No R80 e versões posteriores, o Check Point gera o CSR e a chave privada do certificado do servidor do portal na linha de comando do gateway, usando seu wrapper OpenSSL integrado. Conecte-se ao gateway via SSH, entre no modo Expert e execute o comando a seguir, substituindo os nomes dos arquivos pelos seus próprios:

cpopenssl req -new -out /home/admin/yourwebsite.csr -keyout /home/admin/yourwebsite.key -config $CPDIR/conf/openssl.cnf

O OpenSSL solicita uma senha para proteger a chave privada e, em seguida, os campos do sujeito do certificado. Preencha-os com cuidado. O Common Name deve ser o nome de domínio totalmente qualificado (FQDN) que os usuários digitam para acessar a VPN/portal:

• Common Name (CN), o FQDN que você deseja proteger, por exemplo vpn.yourwebsite.com. Para um certificado wildcard, coloque um asterisco antes do domínio, por exemplo *.yourwebsite.com.
• Organizational Unit (OU), a unidade que solicita o certificado, por exemplo IT ou Web Administration.
• Organization (O), o nome legal completo da sua empresa, por exemplo GPI Holding LLC.
• Locality (L), o nome completo da cidade onde sua empresa está registrada, por exemplo San Jose.
• State (ST), o nome completo do estado ou região, por exemplo California.
• Country (C), o código de país de duas letras, por exemplo US. Você pode encontrar a lista completa de códigos de país on-line.

O arquivo CSR resultante contém seus dados em uma única string de sujeito (DN), semelhante a esta:

CN=vpn.yourwebsite.com, OU=IT, O=Your Company Name, L=City, ST=State, C=Country

Abra o arquivo .csr em um editor de texto e copie todo o seu conteúdo, incluindo as linhas —–BEGIN CERTIFICATE REQUEST—– e —–END CERTIFICATE REQUEST—–. Você envia esse CSR durante o pedido do seu SSL. Mantenha o arquivo de chave privada .key correspondente seguro no gateway. Você não pode perdê-lo e nunca deve compartilhá-lo.

Dica: se preferir não usar a linha de comando, você pode gerar o CSR com nosso Gerador de CSR gratuito e guardar a chave privada gerada por ele. De qualquer forma, o CSR é o que sua CA precisa para emitir o certificado.

Etapa 4: Instale o certificado SSL na VPN Check Point

Quando a validação for concluída, sua CA envia por e-mail o certificado do servidor emitido, geralmente em um arquivo ZIP junto com a cadeia. Para importá-lo pelo SmartConsole, você precisa de tudo em um único arquivo .p12 (PKCS#12): o certificado do servidor, sua chave privada e os certificados intermediário e raiz. Se você tiver as peças como arquivos separados, combine-os com o OpenSSL do gateway executando o seguinte comando no modo Expert:

cpopenssl pkcs12 -export -out /home/admin/yourwebsite.p12 -inkey /home/admin/yourwebsite.key -in /home/admin/yourwebsite.crt -certfile /home/admin/chain.crt

Aqui, yourwebsite.crt é o seu certificado de servidor, yourwebsite.key é a chave privada da Etapa 3, e chain.crt são os certificados intermediário e raiz concatenados em um único arquivo (primeiro o intermediário, depois a raiz). O OpenSSL solicita que você defina uma senha de exportação; você a digitará novamente durante a importação. Com o .p12 pronto, instale-o:

1. Abra o SmartConsole e vá até Gateways & Servers no menu de navegação à esquerda.
2. Clique duas vezes no seu objeto Security Gateway (ou cluster) para editá-lo.
3. No painel esquerdo, abra a lâmina que atende ao seu portal: Mobile Access > Portal Settings para o portal VPN Mobile Access, ou Platform Portal para o portal de gerenciamento Gaia.
4. Na seção Certificate, clique em Import or Replace.
5. Navegue até o seu arquivo .p12, digite a senha de exportação definida anteriormente e confirme. O SmartConsole lê o certificado, a chave e a cadeia a partir do arquivo.
6. Clique em OK para fechar o objeto do gateway.
7. Clique em Install Policy e envie a política para o gateway para que o novo certificado entre em vigor.

Parabéns, você instalou um certificado SSL na sua VPN Check Point. Depois que a política é instalada, o gateway apresenta o novo certificado na URL do portal.

Método legado: SmartDashboard (R77.x e versões anteriores)

Se você ainda utiliza um gateway mais antigo gerenciado pelo cliente autônomo SmartDashboard, o certificado é gerado e instalado inteiramente pela interface gráfica. Primeiro, importe a cadeia da CA:

1. Faça login no SmartDashboard. Na aba Servers and OPSEC Applications, vá para Servers > Trusted CAs, clique com o botão direito e escolha New CA > Trusted.
2. Na aba General da janela Certificate Authority Properties, digite um Name e, opcionalmente, um Comment, depois continue.
3. Na aba OPSEC PKI, em Retrieve CRL from, deixe marcado apenas HTTP Server(s).
4. Em Certificate, ao lado de Get the CA certificate from a file, clique em Get, navegue até o seu arquivo root.crt e clique em OK.
5. Repita as etapas anteriores para o seu arquivo intermediate.crt. Depois abra Servers > Trusted CAs e confirme que ambas as CAs estão listadas.

Em seguida, gere o CSR e instale o certificado:

1. Expanda Network Objects, clique com o botão direito no seu gateway/cluster Check Point e escolha Edit.
2. Em Gateway Cluster Properties, selecione VPN no painel esquerdo e clique em Add.
3. Digite um Certificate Nickname e, no menu suspenso CA to enroll from, selecione a CA intermediária importada anteriormente. Clique em Generate e depois em Yes.
4. Na caixa DN da janela Generate Certificate Request, digite seus dados como uma única string separada por vírgulas, por exemplo CN=vpn.yourwebsite.com, OU=IT, O=Your Company Name, L=City, ST=State, C=Country, e clique em OK.
5. De volta em VPN, clique em View para ver o CSR, depois em Save to File para exportá-lo. Envie esse CSR para sua CA.
6. Quando o certificado assinado chegar, edite o gateway novamente, selecione VPN, escolha o mesmo apelido e clique em Complete. Navegue até o seu certificado de servidor, clique em Open, revise os detalhes e clique em OK. Depois instale a política.

Seja qual for o método utilizado, planeje-se com antecedência: o antigo cliente SmartDashboard do Check Point não está disponível nas versões atuais, então, se você ainda estiver no R77.x, trate uma atualização para uma versão suportada como parte do ciclo de vida do seu certificado.

Teste sua instalação SSL

Mesmo após uma instalação limpa, lacunas de configuração, como um intermediário ausente ou um protocolo fraco, podem persistir. Execute um diagnóstico rápido para garantir que o gateway sirva a cadeia completa e uma configuração TLS moderna. A verificação mais rápida é abrir a URL da VPN/portal em um navegador e inspecionar o cadeado, mas um scanner dedicado é mais completo.

Use nosso SSL Checker gratuito para gerar um relatório instantâneo sobre seu certificado, cadeia e protocolos suportados. Se você tiver o OpenSSL na sua própria máquina, também pode consultar o gateway diretamente. Substitua pelo host e pela porta do seu portal (o portal Mobile Access geralmente escuta na porta 443):

echo | openssl s_client -connect vpn.yourwebsite.com:443 -servername vpn.yourwebsite.com 2>/dev/null | openssl x509 -noout -issuer -subject -dates

Se o certificado estiver ativo, isso exibe seu emissor, sujeito e datas de validade. Uma cadeia completa e um FQDN correspondente significam que sua instalação está correta.

Onde comprar o melhor certificado SSL para VPN Check Point?

Ao comprar um certificado SSL, considere três fatores: tipo de validação, preço e suporte. Na SSL Dragon, oferecemos toda a gama de certificados SSL a preços competitivos, com um atendimento ao cliente cinco estrelas. Nossos certificados são assinados por Autoridades Certificadoras renomadas, portanto são compatíveis com a maioria dos appliances VPN, incluindo o Check Point. Seja você precisa de um certificado de Validação de Domínio econômico ou de um produto de Validação Estendida premium, nós temos a solução ideal.

Os preços da SSL Dragon estão entre os mais competitivos do mercado, e nossa equipe de suporte dedicada é muito bem avaliada pelos clientes existentes.

Não tem certeza de qual certificado escolher? Use nossa ferramenta SSL Wizard para encontrar o produto ideal para sua implantação Check Point.

Perguntas Frequentes