FortiGate: SSL-Zertifikat austauschen oder umbenennen

Die FortiGate speichert ein Zertifikat als benanntes lokales Zertifikatsobjekt, und jede TLS-Funktion verweist über den Namen darauf: HTTPS-Administration, SSL-VPN, virtuelle Server, expliziter Proxy und SSL-Inspection sind jeweils eigene Verweise. Ein neu importiertes Zertifikat ändert nichts, solange keine Funktion darauf zeigt.

VoraussetzungenCopy Anchor Link

• Notieren Sie den Namen des aktuellen Zertifikatsobjekts, seinen Bereich und jede Funktion, die es verwendet. Die CLI listet die Verweise auf:

  Copy Text

  diagnose vpn certificate list-usage <certificate-name>

• Sichern Sie die Konfiguration (Admin-Menü oben rechts > Configuration > Backup). Vor einer Aktualisierung an Ort und Stelle oder einer Umbenennung laden Sie außerdem das aktuelle Zertifikat unter System > Certificates herunter - beide Wege überschreiben das Vorhandene, und die Sicherung ist Ihr Weg zurück.

• Bereiten Sie eines davon vor:

  • eine PFX/PKCS#12-Datei mit Zertifikat, privatem Schlüssel und Kennwort,
  • PEM-Dateien für Zertifikat und privaten Schlüssel, oder
  • das signierte Zertifikat zu einer auf der FortiGate erzeugten CSR, deren privater Schlüssel bereits auf dem Gerät liegt.

• Der SAN muss jeden Namen enthalten, den Clients verwenden: FQDN oder IP der Admin-GUI, den SSL-VPN-Namen und jeden Hostnamen eines virtuellen Servers.

• Planen Sie ein Wartungsfenster ein, wenn SSL-VPN betroffen ist: Eine Änderung des SSL-VPN-Serverzertifikats trennt alle verbundenen SSL-VPN-Nutzer. Sie können sich sofort wieder verbinden.

VDOMs und der globale KontextCopy Anchor Link

Auf einer FortiGate mit mehreren VDOMs steht ein in ein VDOM importiertes Zertifikat nur diesem VDOM zur Verfügung; ein im Global-Kontext importiertes Zertifikat allen. Wechseln Sie in der GUI vor dem Import in das richtige VDOM oder nach Global. In der CLI heißen die Zertifikatstabellen innerhalb eines VDOMs config vpn certificate ... und nach config global nur config certificate .... Die Beispiele unten zeigen die VDOM-Form; auf einer FortiGate mit mehreren VDOMs stellen Sie config global voran und lassen vpn weg.

Vorgehen wählenCopy Anchor Link

Neues Zertifikat importieren und umstellenCopy Anchor Link

1. Öffnen Sie im richtigen VDOM (oder Global) System > Certificates > Create/Import > Certificate > Import Certificate.

2. Wählen Sie den Typ und vergeben Sie einen Certificate Name, der Zweck und Jahr zeigt, etwa sslvpn-2026 oder admin-2026:

   • PKCS #12 Certificate für eine PFX-Datei: Datei hochladen und Kennwort eingeben.
   • Certificate für PEM-Dateien: Zertifikat und privaten Schlüssel hochladen und ein Kennwort festlegen, mit dem FortiOS den Schlüssel schützt.
   • Bei einer auf der FortiGate erzeugten CSR laden Sie das signierte Zertifikat als Local Certificate hoch; es wird mit dem Schlüssel auf dem Gerät verknüpft.

   PEM-Dateien müssen PEM sein, nicht DER. Eine DER-Datei vorher umwandeln:

   Copy Text

   openssl x509 -inform DER -in certificate.der -outform PEM -out certificate.pem

3. Importieren Sie fehlende Zwischen- und Stammzertifikate als CA-Zertifikate, damit die vollständige Kette für die Funktionen verfügbar ist, die sie ausliefern.

4. Stellen Sie jede Funktion auf das neue Objekt um. Testen Sie zuerst mit der Admin-GUI - das trennt keine VPN-Nutzer - und stellen Sie SSL-VPN im Wartungsfenster um.

   Admin-GUI (HTTPS-Administration): System > Settings > HTTPS server certificate, oder:

   Copy Text

   config system global
       set admin-server-cert "admin-2026"
   end

   Ihre Browsersitzung muss sich eventuell neu verbinden.

   SSL-VPN: VPN > SSL-VPN Settings > Server certificate, oder:

   Copy Text

   config vpn ssl settings
       set servercert "sslvpn-2026"
   end

   Das trennt alle verbundenen SSL-VPN-Nutzer.

   Alles andere, was list-usage gezeigt hat - virtuelle Server, expliziter Proxy, SSL-Inspection-Profile - hat ein eigenes Zertifikatsfeld in den Einstellungen der jeweiligen Funktion.

5. Speichern. In der GUI wird die Änderung mit Apply bzw. OK wirksam, in der CLI beim Verlassen des Blocks mit end. Ein Neustart ist nicht nötig.

6. Führen Sie diagnose vpn certificate list-usage <alter-name> erneut aus. Zeigt es keine Verweise mehr, löschen Sie das alte Objekt unter System > Certificates.

Zertifikat an Ort und Stelle aktualisierenCopy Anchor Link

Verlängert die CA ein Zertifikat für dasselbe Schlüsselpaar, können Sie das Zertifikat im vorhandenen Objekt ersetzen, statt ein neues zu importieren. Das Objekt behält seinen Namen, keine Funktionseinstellung muss bearbeitet werden.

1. Laden Sie das aktuelle Zertifikat als Sicherung herunter (siehe Voraussetzungen).

2. Fügen Sie das verlängerte PEM-Zertifikat in das Objekt ein:

   Copy Text

   config vpn certificate local
       edit "sslvpn-2025"
           set certificate "<PEM-Zertifikat einfügen>"
       next
   end

   Drücken Sie vor dem Einfügen des PEM-Blocks die Eingabetaste, und kopieren Sie aus einem Editor, der keine Wagenrückläufe (Carriage Returns) einfügt - beides sind häufige Ursachen für Syntaxfehler.

3. Prüfen Sie jede Funktion über das Netzwerk (siehe Prüfen). Laut Fortinet liefert eine Funktion unter Umständen weiter das vorherige Zertifikat aus, bis das Zertifikat in dieser Funktion einmal entfernt und neu gesetzt wurde. Zeigt ein Dienst noch das alte Zertifikat, setzen Sie es dort erneut - bei SSL-VPN trennt das die verbundenen Nutzer.

Bei einem Zertifikat mit neuem Schlüssel funktioniert das nicht; nutzen Sie dann den Import.

Zertifikat umbenennenCopy Anchor Link

Fortinet dokumentiert das Umbenennen in der CLI. Führen Sie es in der Tabelle aus, in der das Zertifikat liegt:

config vpn certificate local
    rename "sslvpn-2025" to "sslvpn-2026"
end

Dasselbe rename funktioniert unter ca, remote, ocsp-server und crl. CA-Zertifikate erhalten beim Import automatische Namen, die sich nur so ändern lassen.

Fortinet weist darauf hin, dass das Umbenennen Dienste stören kann, die den alten Namen verwenden, und dokumentiert nicht, dass die Verweise der Funktionen mitwandern. Behandeln Sie es deshalb wie eine Änderung an jeder Funktion, die das Zertifikat nutzt:

1. Führen Sie diagnose vpn certificate list-usage "sslvpn-2025" aus und notieren Sie die Funktionen.
2. Benennen Sie um.
3. Prüfen Sie, ob jede dieser Funktionen das Zertifikat in ihren Einstellungen noch anzeigt, und prüfen Sie es über das Netzwerk.
4. Hat eine Funktion den Verweis verloren, wählen Sie dort das umbenannte Zertifikat erneut aus - oder benennen Sie es mit rename "sslvpn-2026" to "sslvpn-2025" zurück.

Tauschen Sie das Zertifikat ohnehin aus, ist der Import unter dem neuen Namen der sicherere Weg zu einem neuen Namen: Das Objekt, das in Gebrauch ist, wird nie berührt.

Produktspezifische HinweiseCopy Anchor Link

Der Austausch des Admin-Zertifikats ändert weder SSL-VPN noch einen virtuellen Server - jedes ist ein eigener Verweis. Prüfen Sie im HA-Cluster vor einem Failover, ob Zertifikat und Konfiguration auf den Sekundärknoten synchronisiert sind, und testen Sie jedes Mitglied.

Neues Zertifikat prüfenCopy Anchor Link

Verbinden Sie sich mit jedem Dienst über den Namen, den Clients verwenden, auch auf einem abweichenden SSL-VPN- oder Admin-Port:

openssl s_client -connect fw.example.com:443 -servername fw.example.com -showcerts </dev/null
openssl s_client -connect vpn.example.com:10443 -servername vpn.example.com -showcerts </dev/null

Prüfen Sie in der Ausgabe Antragsteller und SAN, Aussteller, Ablaufdatum (NotAfter) und ob das Zwischenzertifikat mitgesendet wird. Testen Sie über die virtuelle HA-IP und, sofern das Betriebshandbuch es erlaubt, direkt gegen jedes Mitglied.

RollbackCopy Anchor Link

• Nach einem Import: in jeder Funktion wieder das alte Objekt setzen (admin-server-cert, servercert, virtuelle Server, Profile). Das Zurückstellen von servercert trennt die SSL-VPN-Nutzer erneut.
• Nach einer Aktualisierung an Ort und Stelle: das gesicherte Zertifikat auf dieselbe Weise wieder einfügen.
• Nach einer Umbenennung: zurück umbenennen.
• Im Zweifel: die Konfigurationssicherung wiederherstellen (Admin-Menü > Configuration > Restore); die FortiGate startet dafür neu.

Behalten Sie das alte Zertifikatsobjekt und die CA-Kette, bis jeder Clientpfad erfolgreich validiert.

Häufige ProblemeCopy Anchor Link

• Das Serverzertifikat wurde ohne Zwischenzertifikate importiert.
• Das Zertifikat wurde im falschen VDOM importiert.
• Das neue Objekt existiert, aber eine Funktion verweist noch auf das alte - list-usage zeigt, welche.
• Der SAN deckt den Hostnamen von Admin-GUI, VPN oder virtuellem Server nicht ab.
• Eine Aktualisierung an Ort und Stelle wurde mit einem Zertifikat für einen anderen Schlüssel versucht.
• SSL-VPN-Nutzer wurden getrennt, weil das Serverzertifikat außerhalb eines Wartungsfensters geändert wurde.

Zertifikatstausch mit aethercert automatisierenCopy Anchor Link

Das aethercert-Deployment-Ziel für FortiGate importiert Serverzertifikat und privaten Schlüssel als benanntes lokales FortiOS-Zertifikat. Es importiert die Kette nicht als FortiOS-CA-Objekte und weist das Zertifikat keiner bestimmten FortiGate-Funktion zu; diese produktspezifischen Verweise richten Sie separat ein.

Unter Deployment-Ziele finden Sie die Felder dieser Vorlage, die Voraussetzungen auf dem Host und den Stand der Verifizierung.

QuellenCopy Anchor Link

• Fortinet: Zertifikat in FortiOS importieren
• Fortinet: HTTPS/SSL-Zertifikat installieren (PFX, PKCS12, PEM, CER)
• Fortinet: lokales Zertifikat ohne neue CSR aktualisieren
• Fortinet: Zertifikat umbenennen
• Fortinet: Referenz config vpn ssl settings