WatchGuard Firebox: SSL-Zertifikat erneuern

Eine Firebox nutzt Zertifikate für den Webserver, der Benutzerauthentifizierung und Access Portal bereitstellt, für VPN, für die Inspektion eingehender Proxy-Verbindungen und weitere Funktionen. Die folgenden Schritte behandeln das Firebox Web Server Certificate in der Fireware Web UI, den häufigsten Fall (der Policy Manager bietet dieselben Funktionen). Eine Firebox, die vollständig aus WatchGuard Cloud verwaltet wird, richten Sie dort ein - siehe Aus der Cloud verwaltete Firebox.

VoraussetzungenCopy Anchor Link

• Notieren Sie, wie das Gerät verwaltet wird (lokal oder vollständig aus WatchGuard Cloud), welches Zertifikat aktuell das Web-Server-Zertifikat ist und welche anderen Funktionen Zertifikate nutzen.
• Sichern Sie die Konfiguration.
• Bewahren Sie die PFX-Datei des aktuellen Zertifikats auf (die Datei, die Sie beim letzten Mal importiert haben). Das alte Zertifikat wird im Ablauf gelöscht, und diese Datei ist Ihr einziger Weg zurück.
• Besorgen Sie das erneuerte Zertifikat von Ihrer CA als PKCS#12-Datei (.pfx/.p12) mit Zertifikat, Kette und privatem Schlüssel - oder als Base64-Dateien (PEM). Der SAN muss den Namen enthalten, über den Nutzer die Firebox erreichen.
• WatchGuard verlangt für jedes auf der Firebox importierte Web-Server-Zertifikat sowohl TLS Web Server Authentication als auch TLS Web Client Authentication in der erweiterten Schlüsselverwendung (EKU). Prüfen Sie das vor der Bestellung.

Zertifikat Schritt für Schritt austauschenCopy Anchor Link

1. Aktuelles Zertifikat ermitteln. Öffnen Sie System > Certificates. Das mit einem Sternchen markierte Zertifikat ist das aktuelle Web-Server-Zertifikat.
2. Nur bei PEM-Dateien ohne Kette: Importieren Sie zuerst die CA-Zertifikate - das Stammzertifikat, dann jedes Zwischenzertifikat - mit der Zertifikatsfunktion General Use (der Kategorie für CA-Zertifikate, aus denen die Firebox Ketten bildet). Eine PKCS#12-Datei mit Kette bringt sie in Schritt 5 mit.
3. Vorübergehend auf das Standardzertifikat wechseln. Die Firebox erlaubt nicht, das gerade als Web-Server-Zertifikat genutzte Zertifikat zu löschen. Wählen Sie im Reiter Firebox Web Server Certificate das von der Firebox signierte Standardzertifikat und speichern Sie. Sie werden abgemeldet; melden Sie sich erneut an.
4. Altes Drittanbieter-Zertifikat löschen im Reiter Certificates.
5. Erneuertes Zertifikat importieren mit dem Import-Assistenten im Reiter Certificates: PFX-Datei oder Base64-Format (PEM) wählen und das Kennwort des Schlüssels eingeben.
6. Auswählen. Im Reiter Firebox Web Server Certificate Third party certificate wählen und das erneuerte Zertifikat aus der Liste auswählen. Speichern.

Zwischen Schritt 3 und 6 liefert die Firebox ihr selbstsigniertes Standardzertifikat aus: Nutzer des Authentifizierungsportals und des Access Portals sehen eine Browserwarnung. Die Schritte dauern wenige Minuten; erledigen Sie sie in einer ruhigen Zeit.

Zertifikate für VPN, den HTTPS-Proxy und weitere Funktionen werden in deren eigenen Einstellungen und Richtlinien ausgewählt; stellen Sie jede um, die das alte Zertifikat genutzt hat.

Aus der Cloud verwaltete FireboxCopy Anchor Link

Bei einer Firebox, die vollständig aus WatchGuard Cloud verwaltet wird, fügen Sie das Zertifikat in der Zertifikatsverwaltung von WatchGuard Cloud hinzu, wählen es für die Firebox aus, verteilen die Konfiguration und warten, bis WatchGuard Cloud anzeigt, dass das Gerät sie übernommen hat. Die Masken Ihrer Version beschreibt WatchGuards Manage Certificates in WatchGuard Cloud (unten verlinkt).

Eine Firebox, die WatchGuard Cloud nur überwacht (cloud-monitored, nicht cloud-managed), behält ihre lokale Konfiguration und wird mit den Schritten in der Fireware Web UI oben geändert.

Neues Zertifikat prüfenCopy Anchor Link

WatchGuards Prüfung: https://<Firebox-Name>/sslvpn.html über den FQDN öffnen (die Seite gibt es, wenn Mobile VPN with SSL oder das Access Portal aktiv ist). Es darf keine Zertifikatswarnung erscheinen, und das Ablaufdatum muss das neue sein. Das Authentifizierungsportal lauscht standardmäßig auf Port 4100. In der Shell:

openssl s_client -connect firebox.example.com:443 -servername firebox.example.com -showcerts </dev/null
openssl s_client -connect firebox.example.com:4100 -servername firebox.example.com -showcerts </dev/null

Prüfen Sie Antragsteller und SAN, Aussteller, Ablaufdatum und Kette, und testen Sie jeden VPN- und Proxy-Endpunkt, der ein Zertifikat nutzt.

RollbackCopy Anchor Link

• Vor Schritt 4 (das alte Zertifikat existiert noch): es im Reiter Firebox Web Server Certificate wieder als Drittanbieter-Zertifikat auswählen.
• Nach Schritt 4: die aufbewahrte PFX-Datei des alten Zertifikats importieren und auswählen. Bis dahin hält das Standardzertifikat die Firebox in Betrieb, mit Browserwarnung.

Ein Rollback ist nur sinnvoll, solange das alte Zertifikat noch gültig ist.

Häufige ProblemeCopy Anchor Link

• Die Kette wurde nach dem Serverzertifikat importiert oder mit einer anderen Zertifikatsfunktion als General Use.
• Das alte Zertifikat ließ sich nicht löschen, weil es noch das Web-Server-Zertifikat war - zuerst auf das Standardzertifikat wechseln.
• Dem Zertifikat fehlt die EKU TLS Web Client Authentication.
• Das Zertifikat wurde importiert, aber nicht als Drittanbieter-Web-Server-Zertifikat ausgewählt.
• Eine nur überwachte Firebox wurde wie eine aus der Cloud verwaltete behandelt.

Zertifikatstausch mit aethercert automatisierenCopy Anchor Link

Das aethercert-Deployment-Ziel für WatchGuard legt über die API von WatchGuard Cloud eine Zertifikatsinstallation für eine vollständig aus der Cloud verwaltete Firebox an und reicht sie ein. Laut WatchGuard-API läuft die Installation asynchron; prüfen Sie Abschluss und Funktionszuordnung deshalb in der Cloud.

Unter Deployment-Ziele finden Sie die Felder dieser Vorlage, die Voraussetzungen auf dem Host und den Stand der Verifizierung.

QuellenCopy Anchor Link

• WatchGuard: abgelaufenes Drittanbieter-Web-Server-Zertifikat erneuern oder ersetzen
• WatchGuard: Drittanbieter-Web-Server-Zertifikat importieren und installieren
• WatchGuard: Firebox Web Server Certificate konfigurieren
• WatchGuard: Gerätezertifikate in der Fireware Web UI verwalten
• WatchGuard: Zertifikate in WatchGuard Cloud verwalten