Como Instalar um Certificado SSL no Synology NAS

Este tutorial mostra como instalar um certificado SSL num Synology NAS com DSM 7. Você irá importar os ficheiros do certificado, atribuir o certificado ao seu DSM e a outros serviços, e forçar HTTPS.

Gerar um código CSR no Synology NAS

Para solicitar um certificado, primeiro cria-se um Certificate Signing Request (CSR), um bloco de texto codificado que contém os detalhes do seu domínio e organização, e envia-se à Autoridade Certificadora (CA). Tem duas opções:

• Use o nosso Gerador de CSR para criar automaticamente o CSR e a chave privada.
• Siga o nosso tutorial passo a passo sobre como criar o CSR no Synology NAS.

Envie o CSR à Autoridade Certificadora durante o seu pedido. Depois de a CA o validar e emitir o seu certificado, continue com a instalação abaixo.

Instalar um certificado SSL no Synology NAS

Antes de começar, certifique-se de que tem estes três ficheiros prontos:

• O seu certificado: o ficheiro .crt do arquivo ZIP enviado pela CA.
• Certificado intermédio: o ficheiro do pacote CA do mesmo arquivo ZIP (o pacote CA).
• Chave privada: o ficheiro .key que gerou juntamente com o CSR.

Os ecrãs abaixo descrevem o DSM 7, o sistema operativo atual da Synology. Versões anteriores do DSM seguem um caminho semelhante com rótulos ligeiramente diferentes.

Passo 1: Abrir o painel de Certificado

Inicie sessão no DSM como administrador e vá a Painel de Controlo > Segurança > Certificado.

Passo 2: Iniciar uma nova importação

Clique em Adicionar. Na janela que se abre, selecione Adicionar um novo certificado e clique em Seguinte.

Passo 3: Escolher “Importar certificado”

Selecione Importar certificado e marque Definir como certificado predefinido para que o DSM o utilize nas ligações que não estão associadas a um certificado específico. Pode deixar o campo Descrição em branco ou dar um nome ao certificado para o distinguir de outros. Clique em Seguinte.

Passo 4: Carregar os três ficheiros

Na janela Importar Certificado, use os botões Procurar para anexar cada ficheiro ao campo correspondente:

• Chave Privada: o seu ficheiro .key.
• Certificado: o seu ficheiro .crt.
• Certificado Intermédio: o ficheiro do pacote CA.

Faça corresponder cada ficheiro ao campo correto. Carregar o certificado no campo da chave, ou saltar o certificado intermédio, é a causa habitual de um aviso “não fiável” mais tarde. Clique em OK para importar. O DSM reinicia o seu servidor web para aplicar o novo certificado, pelo que a interface pode ficar brevemente indisponível.

Passo 5: Atribuir o certificado aos seus serviços

Importar o certificado não é o último passo. Ainda precisa de indicar a cada serviço qual o certificado a usar. De volta ao ecrã Certificado, clique em Definições. No separador Configurar, verá os seus serviços (ambiente de trabalho DSM, Web Station, correio, FTP e outros) junto a uma lista pendente de certificados. Para cada serviço que deva usar o novo certificado, abra a lista pendente e selecione-o, depois clique em OK.

Se marcou Definir como certificado predefinido no Passo 3, os serviços sem uma atribuição explícita já usam o novo certificado, mas vale a pena confirmar que o ambiente de trabalho DSM e quaisquer serviços web apontam para o correto.

Passo 6: Forçar uma ligação segura

Para garantir que os visitantes acedem sempre à versão segura, redirecione HTTP para HTTPS:

• Vá a Painel de Controlo > Portal de Início de Sessão.
• No separador DSM, marque Redirecionar automaticamente ligações HTTP para HTTPS no ambiente de trabalho DSM.
• Clique em Guardar (ou Aplicar).

O ambiente de trabalho DSM agora carrega apenas através de HTTPS. Os sites do Web Station são geridos separadamente, nas suas próprias definições de portal.

O seu certificado SSL está agora instalado no seu Synology NAS.

Opção gratuita: obter um certificado Let’s Encrypt no DSM

O DSM 7 pode emitir diretamente um certificado gratuito Let’s Encrypt, sem CSR e sem importação manual. Renova-se automaticamente antes de expirar, o que elimina a tarefa de renovação a cada 90 dias. Funciona melhor quando o seu NAS está acessível pela internet no domínio correspondente.

• Vá a Painel de Controlo > Segurança > Certificado, clique em Adicionar, depois em Adicionar um novo certificado.
• Selecione Obter um certificado do Let’s Encrypt e clique em Seguinte.
• Introduza o seu Nome de domínio e um Email de contacto. Adicione quaisquer nomes de host extra em Subject Alternative Name, depois conclua.

Para a validação do domínio, o seu NAS e router devem permitir a entrada na porta 80 a partir da internet. O DSM usa a mesma ligação para renovar o certificado automaticamente. Depois de emitido, atribua-o aos seus serviços em Definições > Configurar, da mesma forma que um certificado importado.

Escolha o Let’s Encrypt para o DSM gratuito e serviços internos. Escolha um certificado adquirido quando precisar de Validação de Organização ou Estendida, um wildcard para muitos subdomínios, um prazo de validade mais longo, ou uma garantia e suporte do fornecedor.

Testar a sua instalação SSL

Após a instalação, verifique o certificado e a cadeia para detetar precocemente um intermédio em falta ou uma atribuição errada. Abra o endereço do seu NAS num navegador através de HTTPS e verifique o cadeado, depois execute uma verificação mais profunda com o nosso SSL Checker.

Se tiver o OpenSSL noutro computador, pode ler diretamente o certificado que o seu NAS fornece. Substitua o anfitrião e a porta pelos seus (o DSM normalmente escuta na porta 5001 para HTTPS):

echo | openssl s_client -connect your-nas-address:5001 -servername your-nas-address 2>/dev/null | openssl x509 -noout -issuer -subject -dates

Isto imprime o emissor, o assunto e as datas de validade. Uma Autoridade Certificadora real na linha do emissor (em vez do próprio NAS) confirma que o seu certificado importado está a ser servido.

Perguntas Frequentes