Как установить SSL-сертификат на Alteon

Это руководство показывает, как установить SSL-сертификат на Radware Alteon, используя как консоль веб-управления (WBM), так и интерфейс командной строки (CLI). На Alteon установка состоит из двух частей: сначала вы импортируете закрытый ключ, сертификат сервера и промежуточный сертификат CA в репозиторий сертификатов, затем связываете их с политикой SSL и виртуальным сервисом, чтобы устройство фактически обслуживало сертификат.

Создание CSR на Alteon

Начните с CSR (запроса на подпись сертификата) — запроса, который вы отправляете в удостоверяющий центр (CA) для получения сертификата. У вас есть два варианта:

• Используйте наш генератор CSR, чтобы автоматически создать CSR и закрытый ключ.
• Следуйте нашему подробному руководству как создать CSR на Alteon, чтобы создать его непосредственно на устройстве.

Отправьте CSR в ваш удостоверяющий центр при оформлении заказа. После того как CA проверит ваш запрос и выпустит сертификат, продолжите установку, описанную ниже.

Установка SSL-сертификата на Alteon

После того как CA отправит ваш сертификат по электронной почте, у вас, как правило, будет три файла в формате PEM: ваш закрытый ключ (созданный вместе с CSR), ваш сертификат сервера и промежуточный сертификат CA (цепочка, которая связывает ваш сертификат с доверенным корневым сертификатом). Вы можете установить их на Alteon через веб-консоль (WBM) или CLI. В любом случае импорт файлов — это только половина работы: вам также нужно связать сертификат и политику SSL с виртуальным сервисом, обрабатывающим ваш HTTPS-трафик. Два раздела ниже подробно описывают каждый метод от начала до конца.

Установка SSL-сертификата через веб (WBM)

Шаг 1: Откройте раздел SSL. Войдите в консоль веб-управления Alteon и перейдите в Configuration > Application Delivery > SSL. Если SSL еще не активен, включите его (установите флажок Enable SSL). Если вы управляете Alteon централизованно через Radware APSolute Vision, те же экраны доступны в разделе Configuration > Application Delivery > SSL для выбранного устройства.

Шаг 2: Импортируйте закрытый ключ. Откройте Certificate Repository и нажмите Import. Установите Type на Key, введите уникальный ID (например, имя вашего домена) и укажите парольную фразу ключа, если ключ зашифрован. Выберите Import from Text, чтобы вставить содержимое PEM, или Import from File, чтобы загрузить файл ключа, затем подтвердите.

Шаг 3: Импортируйте сертификат сервера. Снова нажмите Import, установите Type на Certificate и введите тот же уникальный ID, который вы использовали для ключа. Вставьте или загрузите сертификат сервера в формате PEM и подтвердите. Использование одного общего ID для ключа и сертификата связывает их между собой.

Шаг 4: Импортируйте промежуточный сертификат CA. Снова нажмите Import и установите Type на Intermediate CA. Задайте ему собственный ID, затем вставьте или загрузите промежуточный сертификат. Если ваш CA предоставляет несколько промежуточных сертификатов, импортируйте каждый и объедините их в Certificate Groups, чтобы обеспечить обслуживание полной цепочки.

Шаг 5: Создайте политику SSL. Перейдите в SSL Policies и добавьте политику. Дайте ей имя, убедитесь, что фронтенд SSL включен, и установите разрешенные протоколы только на TLS 1.2 и TLS 1.3 (отключите SSLv3 и TLS 1.0/1.1). Подключите промежуточный сертификат CA (или группу промежуточных сертификатов) к политике, чтобы Alteon предоставлял полную цепочку.

Шаг 6: Свяжите сертификат и политику с виртуальным сервисом. Откройте Configuration > Application Delivery > Virtual Services (или список сервисов вашего виртуального сервера), выберите сервис HTTPS на порту 443, и в его настройках SSL выберите созданную вами SSL Policy и выберите ваш Server Certificate по его ID. Именно этот шаг фактически размещает сертификат в канале передачи данных; без него импортированные файлы остаются неиспользуемыми.

Шаг 7: Примените и сохраните. Нажмите Apply, чтобы активировать изменения, затем Save, чтобы записать их во флеш-память, чтобы они сохранялись после перезагрузки.

Примечание: убедитесь, что закрытый ключ и сертификат сервера используют одинаковый ID. Если они не совпадают, Alteon не сможет связать их, и виртуальный сервис не будет обслуживать сертификат.

Установка SSL-сертификата через CLI

Подключитесь к Alteon через SSH (или консоль) и войдите в систему. Команда импорта проведет вас через выбор типа компонента, ID и источника PEM:

/cfg/slb/ssl/certs/import

Вот как выглядит интерактивная подсказка при импорте закрытого ключа. Выберите key как тип компонента, задайте ему ID и вставьте PEM, когда будет предложено:

>> WEBAPPA-B - vADC 3 - Main# /cfg/slb/ssl/certs/import
Enter Component type to import: [key|certificate|cert+key|intermca|trustca|2424sslcfg|crl|trustca-gr] [key]: key
Enter component ID: 5
Import from text or file in PEM format [text|file] [text]:

На последнем шаге выберите, как вы хотите предоставить данные PEM:

• text вставляет содержимое сертификата непосредственно в терминал.
• file импортирует файл сертификата, который вы уже перенесли на устройство.

Выполните команду импорта три раза: один раз для key, один раз для сертификата сервера certificate (используйте тот же ID компонента, что и для ключа, чтобы они были связаны) и один раз для intermca (промежуточного CA). Например:

/cfg/slb/ssl/certs/import   # type: key,         ID: 5
/cfg/slb/ssl/certs/import   # type: certificate, ID: 5
/cfg/slb/ssl/certs/import   # type: intermca,    ID: 6

Затем создайте политику SSL и подключите к ней промежуточный CA. Установите разрешенные версии TLS на 1.2 и 1.3, пока вы здесь:

/cfg/slb/ssl/sslpol mypolicy

Наконец, свяжите политику SSL и сертификат сервера с виртуальным сервисом HTTPS. Замените ID виртуального сервера, имя политики и ID сертификата на ваши собственные значения:

/cfg/slb/virt <virt-ID>/service/ssl/sslpol mypolicy
/cfg/slb/virt <virt-ID>/service/ssl/srvrcert 5

Активируйте изменения и запишите их во флеш-память:

apply
save

Теперь ваш SSL-сертификат установлен и обслуживается на Alteon. Чтобы подтвердить цепочку и срок действия, которые представляет устройство, воспользуйтесь нашим SSL Checker для имени хоста вашего сайта.

Часто задаваемые вопросы