NetScaler (ADC): SSL-Zertifikat austauschen

NetScaler bildet ein Serverzertifikat mit privatem Schlüssel als Zertifikat-Schlüssel-Paar ab (das Objekt ssl certKey), das an SSL-vServer und -Dienste gebunden ist. Wird dieses Objekt an Ort und Stelle aktualisiert, bleiben alle Bindungen erhalten: Jeder SSL-vServer, an den es gebunden ist - auch NetScaler-Gateway- vServer -, nutzt automatisch und ohne Unterbrechung das neue Zertifikat. Der Alternativweg - lösen, entfernen, hinzufügen, binden - nimmt jeden vServer zwischen den Schritten außer Betrieb.

VoraussetzungenCopy Anchor Link

• Ermitteln Sie das zu ersetzende Paar: Traffic Management > SSL > Certificates > Server Certificates listet sie auf, in der CLI show ssl certKey. Notieren Sie Namen, Dateien unter /nsconfig/ssl, das verknüpfte Zwischenzertifikat, jeden gebundenen vServer (show ssl certKey <name> zeigt sie) und den HA-Status.
• Kopieren Sie die aktuellen Zertifikats- und Schlüsseldateien an einen sicheren Ort - Sie brauchen sie für einen Rollback.
• Bereiten Sie entweder eine PFX-Datei mit Kennwort vor oder PEM-Dateien für Zertifikat und Schlüssel (plus Kennwort, falls der Schlüssel verschlüsselt ist).
• Prüfen Sie, ob das neue Zertifikat denselben Namen hat wie das alte. Wenn nicht - etwa beim Wechsel von gateway.example.com auf *.example.com -, lehnt die Domänenprüfung von NetScaler die Aktualisierung ab, solange Sie nicht No Domain Check wählen.

Zertifikat Schritt für Schritt austauschenCopy Anchor Link

1. Zertifikat-Schlüssel-Paar aktualisierenCopy Anchor Link

In der GUI (nimmt PFX direkt an):

1. Öffnen Sie Traffic Management > SSL > Certificates > Server Certificates, wählen Sie das Zertifikat und klicken Sie auf Update.
2. Wählen Sie Update the certificate and key.
3. Wählen Sie unter Certificate File Name Choose File > Local und die neue Datei:
   • eine .pfx-Datei - Sie werden nach dem Kennwort gefragt; eine separate Schlüsseldatei ist nicht nötig, oder
   • ein PEM-Zertifikat - dann laden Sie auch die Key File hoch und geben das Kennwort an, falls der Schlüssel verschlüsselt ist.
4. Weicht der Zertifikatsname vom alten ab, wählen Sie No Domain Check.
5. Klicken Sie auf OK.

In der CLI (PEM-Dateien):

1. Kopieren Sie die neuen Dateien nach /nsconfig/ssl (etwa per SCP) und machen Sie den Schlüssel nur für root lesbar.

2. Paar aktualisieren und prüfen:

   Copy Text

   update ssl certKey gateway-cert -cert /nsconfig/ssl/gateway-2026.pem -key /nsconfig/ssl/gateway-2026.key
   show ssl certKey gateway-cert

   Ergänzen Sie -password bei einem verschlüsselten Schlüssel und -noDomainCheck, wenn sich der Zertifikatsname ändert. Für eine PFX-Datei nutzen Sie die GUI.

2. Kette prüfenCopy Anchor Link

Kommt das neue Zertifikat von einer anderen Zwischen-CA, ist das Paar noch mit dem alten Zwischenzertifikat verknüpft. Installieren Sie das neue Zwischenzertifikat als eigenes Zertifikat (in der GUI unter Traffic Management > SSL > Certificates > CA Certificates > Install, ohne Schlüssel) und ersetzen Sie die Verknüpfung:

add ssl certKey intermediate-2026 -cert /nsconfig/ssl/intermediate-2026.pem
unlink ssl certKey gateway-cert
link ssl certKey gateway-cert intermediate-2026
show ssl certlink

Ab Release 13.0 Build 47.x kann die GUI auch automatisch verknüpfen, wenn Zwischen- und Stammzertifikat auf der Appliance liegen: über die Schaltfläche Link am Serverzertifikat.

3. Bindungen prüfenCopy Anchor Link

show ssl vserver <vserver-name>

Der vServer sollte das aktualisierte Zertifikat-Schlüssel-Paar anzeigen.

4. Speichern und HA synchronisierenCopy Anchor Link

Speichern Sie die Konfiguration - sonst geht die Änderung beim nächsten Neustart verloren - und übertragen Sie die SSL-Dateien auf den HA-Sekundärknoten. Beides auf dem Primärknoten:

save ns config
sync HA files SSL

In der GUI speichern Sie über das Disketten-Symbol und starten die Synchronisierung unter Traffic Management > SSL > Start SSL certificate, key file synchronization for HA. Der Sekundärknoten kopiert /nsconfig/ssl außerdem selbst jede Minute und bei jeder neuen Datei; der Befehl erzwingt es sofort.

Vor dem nächsten Ablauf gewarnt werdenCopy Anchor Link

Aktivieren Sie den Expiry Monitor. Er schreibt Einträge ins Syslog und ins Audit-Log der Appliance, wenn das Zertifikat bald abläuft; SNMP-Alarme für ablaufende Zertifikate müssen separat eingerichtet werden.

set ssl certKey gateway-cert -expiryMonitor ENABLED -notificationPeriod 30

Die Benachrichtigungsfrist ist in Tagen angegeben. In der GUI: Zertifikat wählen, Update klicken und Notify When Expires aktivieren.

Produktspezifische HinweiseCopy Anchor Link

Haben Sie ein neues Zertifikat-Schlüssel-Paar angelegt, statt das alte zu aktualisieren, binden Sie es selbst an jeden vServer:

bind ssl vserver <vserver-name> -certkeyName <neues-certkey>

Wird das alte Paar zuerst gelöst, ist der vServer inaktiv, bis wieder ein gültiges Zertifikat gebunden ist; prüfen Sie die SNI-Einstellungen des vServers, wenn er mehrere Zertifikate ausliefert.

Eine einzelne PEM-Datei kann das Serverzertifikat und bis zu neun Zwischenzertifikate enthalten: Mit add ssl certKey ... -bundle YES hinzugefügt, legt NetScaler die Zwischenzertifikate selbst an und verknüpft sie. Ein eigener Objekttyp, das Zertifikat-Schlüssel-Bundle (ssl certKeyBundle), lässt sich ab Release 14.1 Build 12.x direkt mit update ssl certKeyBundle aktualisieren; in älteren Releases muss ein Bundle gelöst, gelöscht, neu hinzugefügt und gebunden werden.

Neues Zertifikat prüfenCopy Anchor Link

show ssl certKey gateway-cert
show ssl certlink
show ssl vserver <vserver-name>

Testen Sie dann jeden Hostnamen über das Netzwerk:

openssl s_client -connect gateway.example.com:443 -servername gateway.example.com -showcerts </dev/null

Prüfen Sie Antragsteller und SAN, Aussteller, Ablaufdatum und ob das Zwischenzertifikat mitgesendet wird. Prüfen Sie, ob die Dateien auf dem HA-Sekundärknoten angekommen sind (show ssl certKey dort), und testen Sie ihn vor einem Failover.

RollbackCopy Anchor Link

Führen Sie update ssl certKey mit den gesicherten alten Dateien aus (und -noDomainCheck, falls der Name abweicht), stellen Sie die alte Zwischenzertifikat-Verknüpfung wieder her, speichern Sie und synchronisieren Sie HA. Behalten Sie beide Dateisätze, bis jeder vServer geprüft ist.

Häufige ProblemeCopy Anchor Link

• Das Paar wurde aktualisiert, ist aber noch mit dem alten Zwischenzertifikat verknüpft, das das neue Zertifikat nicht ausgestellt hat.
• Die Dateien liegen auf dem Primär-, aber nicht auf dem HA-Sekundärknoten.
• Ein neues Paar wurde angelegt, aber nie an den vServer gebunden.
• Die Domänenprüfung hat einen gewollten Namenswechsel abgelehnt - No Domain Check verwenden.
• Die Konfiguration wurde nicht gespeichert, die Änderung war nach einem Neustart weg.

Zertifikatstausch mit aethercert automatisierenCopy Anchor Link

Das aethercert-Deployment-Ziel für NetScaler lädt Zertifikat und Schlüssel hoch, legt das benannte sslcertkey an bzw. aktualisiert es und lädt Zwischenzertifikate hoch und verknüpft sie. Das Binden an einen SSL-vServer übernimmt es bewusst nicht, weil diese Zuordnung umgebungsspezifisch ist.

Unter Deployment-Ziele finden Sie die Felder dieser Vorlage, die Voraussetzungen auf dem Host und den Stand der Verifizierung.

QuellenCopy Anchor Link

• NetScaler: Zertifikate installieren, verknüpfen und aktualisieren
• NetScaler: Befehlsreferenz ssl certKey
• NetScaler: Zertifikat an einen vServer binden
• NetScaler: SSL-Dateien im HA-Betrieb synchronisieren