如何在 Sophos XG Firewall 上生成 CSR

本指南将向您展示如何在 Sophos Firewall 上通过网页管理控制台生成 CSR（证书签名请求）。CSR 是您的证书颁发机构签发 SSL/TLS 证书所需的文件，与之匹配的私钥会同时在防火墙上生成，并且永远不会离开该设备。

关于名称的说明：Sophos XG Firewall 在 2021 年被重新命名为简单的 Sophos Firewall，从 Sophos Firewall OS（SFOS）v18.5 和 XGS 系列设备开始生效。操作系统仍然称为 SFOS。以下步骤适用于当前的 SFOS 版本（v19、v20 和 v21）；较旧的 v17.x 版本的布局略有不同，但思路相同。

在 Sophos Firewall 上生成 CSR

您也可以使用我们的CSR 生成器在设备之外创建 CSR，但之后您需要将私钥以 PKCS12（.pfx/.p12）文件的形式导回 Sophos。直接在防火墙上生成 CSR 可以将私钥保留在设备上，避免这个额外步骤。

步骤 1：打开证书页面

登录 Sophos Firewall 管理控制台，转到证书 > 证书，然后点击添加。

请使用”证书”标签页，而不是”证书颁发机构”标签页。您的服务器（叶子）证书及其 CSR 属于证书 > 证书下。证书颁发机构标签页仅用于导入 CA（信任链）证书，例如私有 CA 或您希望防火墙信任的根证书/中间证书。

步骤 2：选择 CSR 操作

在操作中，选择生成证书签名请求（CSR）。其他选项（上传证书和生成本地签名证书）分别用于导入已签发的证书，或从防火墙自身的 CA 创建自签名证书，这两者都不是您在此需要的操作。

步骤 3：填写证书详细信息

在证书详细信息下，填写以下字段：

• 名称：输入一个清晰、易识别的名称，以便您在防火墙上识别该 CSR（以及后续的证书）。
• 密钥类型：选择 RSA 以获得最广泛的兼容性，或者如果您的 CA 支持，可选择椭圆曲线，以获得更小的密钥和更快的握手速度。
• 密钥长度（RSA）：选择 2048。这是当今任何公共 CA 都会签发的最低标准；如果您的政策要求，3072 或 4096 也是可以接受的。
• 曲线名称（椭圆曲线）：通常选择 P-256 或 P-384 曲线。
• 安全散列：选择 SHA-256。任何更弱的算法（SHA-1、MD5）都会被公共 CA 拒绝。

在主体名称属性下，请提供与官方记录完全一致的组织信息。公共 CA 会针对 OV 和 EV 证书对照商业登记信息进行核验，因此拼写错误或缩写会导致延误。

• 国家名称：从下拉列表中选择您的国家（例如加拿大）。
• 州/省：填写公司注册所在州、省或地区的全称。请不要使用缩写（例如应填写 British Columbia，而不是 BC）。
• 地区名称：城市或城镇的全称（例如 Vancouver）。
• 组织名称：拥有该域名的公司的完整法定名称（例如 Your Company LLC）。对于 DV 证书，您可以填写个人姓名，但对于 OV/EV 证书，法定实体必须与公司记录一致。
• 组织单位名称：可选。CA 正逐渐从签发的证书中移除此字段，因此留空是安全的。
• 公用名：您要保护的完全限定域名（FQDN），例如 vpn.yourdomain.com 或 yourdomain.com。对于通配符证书，请使用 *.yourdomain.com。
• 电子邮件地址：一个有效的联系邮箱。CA 在验证过程中可能会通过该邮箱与您联系。

步骤 4：添加主体备用名称（SAN）

在主体备用名称（SAN）下，添加该证书需要覆盖的每一个主机名或 IP 地址。浏览器和现代客户端会忽略公用名，仅根据 SAN 进行匹配，因此缺少 SAN 是证书在防火墙上”生效”但在浏览器中出现名称不匹配错误的最常见原因。

• 将您在公用名中使用的值重复填入第一个 SAN 条目。大多数公共 CA 都要求这样做。
• 如果您购买的是多域名（SAN）证书，请添加您需要的任何其他主机名（例如 portal.yourdomain.com、vpn.yourdomain.com）。
• 对于通配符证书，SAN 可以是 *.yourdomain.com（通常还会加上 yourdomain.com）。

在没有显示 SAN 字段的旧版 SFOS 上，请打开高级设置，改用证书 ID字段，并针对主机名选择 DNS 类型。

步骤 5：保存并下载 CSR

点击保存。Sophos Firewall 会在设备上生成 CSR 及与之匹配的私钥，新条目会出现在证书列表中，类型列显示为 CSR。

要下载 CSR，请通过您所命名的名称找到该条目，然后点击管理列下的下载图标。防火墙会将一个 .csr 文件保存到您的计算机上。您可以使用任意文本编辑器（记事本、TextEdit、VS Code）打开它，复制 Base64 代码块，内容如下所示：

-----BEGIN CERTIFICATE REQUEST-----
MIIC...
...
-----END CERTIFICATE REQUEST-----

在将其发送给证书颁发机构之前，请将该代码块粘贴到我们的CSR 解码器中，以确认公用名、SAN、密钥大小和组织字段是否符合您的预期。在这里发现的错误 CSR 可以避免以后再次提交重新签发的请求。

提交 CSR 并安装证书

在结账过程中（或之后在您的 CA 账户中），将整个 Base64 代码块（包括 BEGIN 和 END 行）粘贴到 CSR 字段中。CA 验证您的订单并签发证书后，您需要在证书 > 证书 > 添加 > 上传证书下将签发的文件导回 Sophos Firewall。完整的导入步骤请参阅我们的配套指南如何在 Sophos Firewall 上安装 SSL 证书。

重要提示：由于私钥是在该防火墙上生成的，因此必须将签发的证书安装在同一设备上。如果您更换了不同的防火墙，请在新设备上重新生成 CSR 或对证书进行重新配对密钥（rekey），否则该证书在新设备上将没有匹配的密钥。

常见问题解答