Cum să instalezi un certificat SSL pe Ivanti Connect Secure (Pulse Secure) SSL VPN

Acest ghid vă oferă instrucțiuni pas cu pas despre cum să instalați un certificat SSL pe Ivanti Connect Secure, dispozitivul SSL VPN vândut ani de zile sub numele de Pulse Secure. Importați certificatul semnat în consola de administrare din System > Configuration > Certificates > Device Certificates, adăugați certificatele intermediare pentru ca lanțul să fie complet și legați rezultatul de porturile virtuale.

O notă despre denumiri, pentru că ambele sunt încă folosite. Ivanti a achiziționat Pulse Secure pe 1 decembrie 2020 și a redenumit gama: Pulse Connect Secure a devenit Ivanti Connect Secure (ICS), iar aplicația desktop pe care majoritatea o numeau Pulse Secure este acum Ivanti Secure Access Client. Pentru această operațiune s-a schimbat doar denumirea de marcă. Calea din meniu, denumirile butoanelor și pașii de mai jos sunt aceiași, indiferent dacă dispozitivul dumneavoastră mai afișează încă marca Pulse pe o versiune mai veche 9.1 sau 22.x, sau marca mai nouă Ivanti.

Generați un cod CSR pe Ivanti Connect Secure

Dacă ați generat deja codul CSR și ați primit certificatul SSL de la CA-ul dumneavoastră, treceți peste această secțiune și sări direct la instalarea certificatului.

Crearea unui CSR (Certificate Signing Request) face parte din procesul de solicitare a certificatului SSL. CSR-ul este un bloc de text codificat care conține domeniul pe care doriți să îl securizați și organizația care îl deține. Când generați CSR-ul pe dispozitiv, acesta creează de asemenea cheia privată și o păstrează pe dispozitiv, motiv pentru care certificatul semnat trebuie să se întoarcă pe același dispozitiv și în aceeași cerere în așteptare.

Aveți două opțiuni:

• Folosiți Generatorul nostru de CSR pentru a crea CSR-ul automat. Acesta vă oferă atât CSR-ul, cât și cheia privată corespunzătoare, pe care le importați împreună în timpul instalării.
• Urmați tutorialul nostru pas cu pas despre cum să generați un CSR pe Ivanti Connect Secure, care păstrează cheia privată pe dispozitiv.

Trimiteți CSR-ul către Autoritatea de Certificare în timpul comenzii. Odată ce CA-ul îl validează și emite certificatul dumneavoastră, continuați cu instalarea de mai jos.

Instalați un certificat SSL pe Ivanti Connect Secure

După ce CA-ul semnează certificatul dumneavoastră și trimite fișierele în căsuța de e-mail, descărcați arhiva ZIP și extrageți conținutul acesteia pe computer. Pașii exacți de mai jos depind de locul în care ați generat CSR-ul, așa că urmați calea care corespunde situației dumneavoastră.

Dacă ați generat CSR-ul pe dispozitiv

1. Conectați-vă la consola de administrare Ivanti Connect Secure.
2. Navigați la System > Configuration > Certificates > Device Certificates.
3. Sub Certificate Signing Requests, faceți clic pe linkul Pending CSR care corespunde certificatului pe care doriți să îl instalați.
4. În partea de jos a noii ferestre, în secțiunea Import signed certificate, faceți clic pe Browse și selectați certificatul descărcat (în format PKCS#7 sau DER).
5. Faceți clic pe Import.

Sfat: după ce importați un certificat în acest mod, salvați o copie a configurației sistemului. Accesați Maintenance > Import/Export > Import/Export Configuration și faceți clic pe Save Config As pentru a descărca fișierul system.cfg. Această copie de rezervă vă permite să restaurați certificatul și cheia sa privată dacă va fi vreodată nevoie.

Dacă ați generat CSR-ul în altă parte

Dacă ați creat CSR-ul altundeva (de exemplu, cu Generatorul nostru de CSR), veți importa certificatul împreună cu cheia sa privată:

1. Din pagina de stare a certificatului dumneavoastră, faceți clic pe butonul View certificate.
2. În noua fereastră, selectați formatul de certificat dorit (PKCS#7, de exemplu) și descărcați certificatul.
3. Navigați la System > Configuration > Certificates > Device Certificates și faceți clic pe Import Certificate & Key.
4. Alegeți modul în care sunt împachetate fișierele dumneavoastră, apoi completați câmpurile:
   • Certificate file: certificatul semnat pe care l-ați descărcat.
   • Private key file: cheia pe care ați generat-o odată cu CSR-ul.
   • Password: parola cheii sau a fișierului PKCS#12, dacă fișierul dumneavoastră este protejat de o astfel de parolă.
5. Faceți clic pe Import.

Notă: dacă certificatul și cheia sunt combinate într-un singur fișier PKCS#12 (.pfx sau .p12), selectați opțiunea If certificate file includes private key de pe pagina de import. Furnizați apoi acel singur fișier plus parola sa și lăsați câmpul separat pentru cheie necompletat.

Importați certificatul intermediar

Pentru a prezenta un lanț complet în care browserele și clienții au încredere, importați certificatele intermediare (CA):

1. În consola de administrare, selectați System > Configuration > Certificates > Device Certificates și faceți clic pe linkul Intermediate Device CAs. Aveți grijă să folosiți acest link și nu Trusted Client CAs, care este lista separată folosită pentru a valida certificatele prezentate de clienți, nu pentru a construi propriul lanț.
2. Faceți clic pe Import CA Certificate și navigați către fișierul certificatului intermediar.
3. Faceți clic pe Import Certificate.
4. Dacă CA-ul dumneavoastră a furnizat mai multe certificate intermediare, le puteți încărca într-un singur fișier PEM sau puteți repeta importul pentru fiecare. Ivanti documentează lanțul ca fiind trimis în ordine descrescătoare, începând cu rădăcina, așa că păstrați certificatele în această ordine într-un fișier combinat, în loc să le rearanjați.

Atribuiți certificatul porturilor virtuale

Importul unui certificat nu îl pune automat în funcțiune. Pasul final este să îl legați de porturile care deservesc traficul VPN, de obicei porturile dumneavoastră interne și externe:

1. În lista de certificate ale dispozitivului, faceți dublu clic pe certificatul vechi pe care îl înlocuiți.
2. Deconectați-l de la orice porturi la care este atribuit, apoi faceți clic pe Save Changes.
3. Înapoi în listă, faceți dublu clic pe certificatul nou.
4. Selectați și adăugați porturile interne și externe relevante, apoi faceți clic pe Save Changes.

Un port poate deservi un singur certificat de dispozitiv la un moment dat, așa că deconectarea certificatului vechi este ce eliberează portul pentru cel nou. Administratorii conectați prin portul pe care îl modificați pot vedea sesiunea întreruptă în timp ce dispozitivul comută certificatele, așa că faceți acest lucru într-o fereastră de întreținere, dacă VPN-ul este în uz.

Testați instalarea SSL

După ce instalați certificatul, executați o scanare asupra numelui de gazdă public al VPN-ului pentru a confirma că certificatul este servit corect și că lanțul intermediar este complet. SSL Checker-ul nostru raportează certificatul, lanțul și protocoalele oferite de dispozitiv. Dacă raportul indică faptul că lanțul este incomplet, certificatul intermediar a fost importat în lista greșită sau nu a fost importat deloc: repetați pasul Intermediate Device CAs de mai sus.

Întrebări frecvente