Kemp LoadMaster: SSL-Zertifikat austauschen

LoadMaster speichert jedes Zertifikat unter einem Certificate Identifier und weist es SSL-fähigen Virtual Services zu. Die Funktion Replace Certificate tauscht das Zertifikat hinter einem vorhandenen Identifier aus, sodass jeder Virtual Service, der es nutzt, seine Zuordnung behält. Ein Neustart ist nicht nötig, laut Progress wirkt sich der Austausch aber auf den Produktivverkehr aus - planen Sie ein Wartungsfenster ein.

VoraussetzungenCopy Anchor Link

• Sichern Sie die LoadMaster-Konfiguration und bewahren Sie die PFX/PEM-Datei des aktuellen Zertifikats auf - Replace Certificate überschreibt es, und diese Datei ist Ihr Rollback.

• Notieren Sie den Certificate Identifier, jeden Virtual Service, dem er zugeordnet ist (und die Reihenfolge, wenn mehrere Zertifikate zugeordnet sind), die Zwischenzertifikate und den HA-Status.

• Bereiten Sie das erneuerte Zertifikat als PFX oder PEM vor - die einzigen Formate, die Replace Certificate annimmt -, mit dem privaten Schlüssel in der Datei oder als eigene Schlüsseldatei.

• Prüfen Sie die Passphrase: Laut Progress muss sie alphanumerisch sein, Groß- und Kleinschreibung zählt, höchstens 64 Zeichen. Sonderzeichen wie ! oder # - in PFX-Kennwörtern üblich - lassen den Import scheitern. PFX mit passender Passphrase neu exportieren:

  Copy Text

  openssl pkcs12 -in old.pfx -nodes -out temp.pem
  openssl pkcs12 -export -in temp.pem -out loadmaster.pfx

  Geben Sie bei der Abfrage eine alphanumerische Passphrase ein und löschen Sie temp.pem danach - die Datei enthält den unverschlüsselten Schlüssel.

• Prüfen Sie den Dateinamen: Er darf ident, cfile, kfile, ffile, replace oder password nicht enthalten; diese Wörter reserviert LoadMaster.

• Zertifikate aus dem ACME-Client von LoadMaster (Let's Encrypt, DigiCert) werden nicht hier ersetzt, sondern unter Certificates & Security > ACME Certificates verwaltet.

Zertifikat Schritt für Schritt austauschenCopy Anchor Link

1. Öffnen Sie Certificates & Security > SSL Certificates.
2. Suchen Sie das Zertifikat und klicken Sie auf Replace Certificate.
3. Klicken Sie unter Certificate File auf Choose File und wählen Sie die erneuerte .pfx- oder .pem-Datei. Ist der Schlüssel nicht in dieser Datei, wählen Sie zusätzlich die Key File.
4. Geben Sie die Pass Phrase ein und klicken Sie auf Save.
5. Stammt das neue Zertifikat von einer anderen Zwischen-CA, fügen Sie das Zwischenzertifikat unter Certificates & Security > Intermediate Certs > Add New hinzu (vor oder nach dem Austausch - es wirkt, sobald beides vorhanden ist). Unterstützt werden PEM, CER und CRT; eine Datei mit mehreren Zwischenzertifikaten wird automatisch aufgeteilt. LoadMaster bildet die Kette selbst; Zwischenzertifikate werden keinem Virtual Service zugeordnet.
6. Prüfen Sie unter SSL Certificates, ob das Zertifikat weiterhin jedem vorgesehenen Virtual Service zugeordnet ist.

Stattdessen unter neuem Identifier importierenCopy Anchor Link

Nutzen Sie diesen Weg, wenn altes und neues Zertifikat nebeneinander bestehen sollen, etwa um einen Virtual Service nach dem anderen umzustellen. Ein als neues Zertifikat importiertes Zertifikat (Import Certificate mit neuem Certificate Identifier) wird erst genutzt, wenn Sie es zuordnen: die Virtual Services in der Liste Available VSs markieren, mit dem Pfeil hinüberschieben und Save Changes klicken - oder es in den Einstellungen des Virtual Service zuordnen. Behalten Sie die Reihenfolge bei, wenn ein Virtual Service mehrere Zertifikate hat (etwa RSA und ECC oder SNI).

Neues Zertifikat prüfenCopy Anchor Link

Prüfen Sie unter SSL Certificates Identifier, Ablaufdatum und Zuordnungen. Verbinden Sie sich dann mit jedem Hostnamen eines Virtual Service:

openssl s_client -connect app.example.com:443 -servername app.example.com -showcerts </dev/null

Prüfen Sie Antragsteller und SAN, Aussteller, Ablaufdatum und ob das Zwischenzertifikat mitgesendet wird. Progress beziffert die Auswirkung des Austauschs auf den Verkehr nicht - beobachten Sie deshalb den Status der Virtual Services und Ihr Monitoring während der Änderung. Prüfen Sie im HA-Paar auf beiden Geräten, ob das neue Zertifikat vorhanden ist, bevor Sie sich auf einen Failover verlassen.

RollbackCopy Anchor Link

Führen Sie Replace Certificate erneut mit der gesicherten PFX/PEM-Datei aus, oder - wenn Sie unter neuem Identifier importiert haben - ordnen Sie jedem Virtual Service wieder den vorherigen Identifier zu. Ist die Konfiguration fraglich, spielen Sie die Sicherung zurück.

Häufige ProblemeCopy Anchor Link

• Die Passphrase enthält Sonderzeichen oder ist länger als 64 Zeichen.
• Der Dateiname enthält ein reserviertes Wort, und der Import wird abgelehnt.
• Ein unter neuem Identifier importiertes Zertifikat wurde nie dem Virtual Service zugeordnet.
• Das Zwischenzertifikat fehlt.
• Ein über ACME verwaltetes Zertifikat wurde unter SSL Certificates gesucht.

Zertifikatstausch mit aethercert automatisierenCopy Anchor Link

Das aethercert-Deployment-Ziel für Kemp lädt ein kombiniertes Zertifikat-Schlüssel-Paket unter dem gewählten Namen hoch und kann es an einen konfigurierten Virtual Service binden.

Unter Deployment-Ziele finden Sie die Felder dieser Vorlage, die Voraussetzungen auf dem Host und den Stand der Verifizierung.

QuellenCopy Anchor Link

• Progress: Zertifikat auf LoadMaster ersetzen
• Progress: SSL-Zertifikat hinzufügen
• Progress: Zwischenzertifikate importieren