Instalacija SSL certifikata Izpis

SSL/TLS certifikat omogoča varno šifrirano povezavo HTTPS med obiskovalcem in spletno stranjo.

Če ste SSL certifikat kupili pri Webicom in je spletna stran gostovana na našem strežniku, vam lahko certifikat praviloma namestimo mi. Certifikat, kupljen pri nas ali drugem ponudniku, pa lahko namestite tudi sami.

Postopek je odvisen predvsem od tega, kam certifikat nameščate:

• na spletno gostovanje s cPanelom,
• na Microsoft IIS strežnik,
• na Microsoft Exchange Server,
• ali certifikat selite z enega strežnika na drugega.

1. Ali za SSL potrebujete namenski IP naslov?

Na sodobnih cPanel strežnikih praviloma ne.

Tehnologija SNI (Server Name Indication) omogoča uporabo različnih SSL certifikatov za več domen na istem IP naslovu.

Zato za običajno spletno stran na sodobnem cPanel gostovanju namenski oziroma statični IP naslov ni pogoj.

Pri starejših Microsoft IIS strežnikih je lahko drugače. Več o tem najdete v poglavju o IIS.

2. Kaj so CSR, CRT, KEY in CA Bundle?

Pri ročni namestitvi SSL se boste pogosto srečali z naslednjimi izrazi:

• CSR – Certificate Signing Request. Zahtevek, ki ga pošljete izdajatelju certifikata.
• Private Key oziroma KEY – zasebni ključ, ki se ustvari skupaj s CSR in mora ostati varen.
• CRT oziroma CER – vaš izdani SSL certifikat.
• CA Bundle oziroma Intermediate Certificates – vmesni certifikati, ki povezujejo vaš certifikat z zaupanja vrednim korenskim certifikatom.
• PFX oziroma P12 – paket, ki lahko vsebuje certifikat, zasebni ključ in certifikacijsko verigo. Pogosto se uporablja na Windows/IIS in Exchange strežnikih.

3. Namestitev novega SSL certifikata v cPanelu

V novejših različicah cPanela lahko vidite možnost SSL/TLS ali enotni vmesnik SSL/TLS Certificates. Osnovni postopek je enak.

1. Izdelava CSR zahtevka

1. Prijavite se v cPanel.
2. V razdelku Security oziroma Varnost odprite SSL/TLS oziroma SSL/TLS Certificates.
3. Odprite Certificate Signing Requests (CSR).
4. Izberite oziroma ustvarite ključ.
5. Vnesite zahtevane podatke za domeno.
6. Kliknite Generate.

cPanel bo ustvaril:

• CSR zahtevek,
• pripadajoči zasebni ključ.

Ponudniku SSL certifikata posredujete samo CSR.

4. Preverjanje domene pred izdajo certifikata

Pri DV certifikatih mora izdajatelj pred izdajo preveriti, da imate nadzor nad domeno.

Odvisno od ponudnika in certifikata je lahko preverjanje izvedeno na primer prek:

• DNS zapisa,
• datoteke na spletni strani,
• drugega postopka, ki ga določi izdajatelj.

Po uspešno opravljenem preverjanju vam ponudnik izda certifikat.

5. Namestitev izdanega certifikata v cPanel

Ko prejmete izdani certifikat:

1. Odprite cPanel → Security → SSL/TLS.
2. Pri Install and Manage SSL for your site (HTTPS) kliknite Manage SSL Sites.
3. Izberite domeno.
4. V polje Certificate (CRT) prilepite oziroma naložite izdani certifikat.
5. V polju Private Key (KEY) mora biti zasebni ključ, ki pripada CSR zahtevku.
6. V polje Certificate Authority Bundle (CABUNDLE) dodajte CA oziroma intermediate bundle, če vam ga je ponudnik posredoval.
7. Kliknite Install Certificate.

Če sta certifikat in ključ že shranjena v cPanelu, lahko uporabite:

Autofill by Domain

cPanel bo poskusil sam poiskati certifikat, zasebni ključ in certifikacijsko verigo.

6. Prenos že obstoječega SSL certifikata na cPanel

Če certifikat že uporabljate na drugem strežniku in še ni potekel, obstajata dve možnosti.

A) Imate certifikat in zasebni ključ

Če imate:

• certifikat oziroma CRT,
• pripadajoči Private Key,
• po možnosti tudi CA Bundle,

novega CSR zahtevka ni treba izdelovati.

V cPanelu odprite Manage SSL Sites in vnesite obstoječi certifikat, ključ in CA Bundle.

B) Zasebnega ključa nimate

Če imate samo certifikat, zasebnega ključa pa ne, certifikata praviloma ne morete samo prenesti na nov strežnik.

V tem primeru:

1. na novem strežniku ustvarite nov CSR,
2. pri izdajatelju certifikata izvedete Rekey oziroma Reissue,
3. posredujete novi CSR,
4. prejmete novo izdani certifikat,
5. nov certifikat namestite na strežnik.

7. Podaljšanje obstoječega SSL certifikata v cPanelu

Če podaljšujete oziroma obnavljate ročno kupljen certifikat, vam izdajatelj po zaključku postopka posreduje nov certifikat.

Če novi certifikat uporablja isti zasebni ključ:

1. odprite Manage SSL Sites,
2. pri domeni izberite Update Certificate oziroma ponovno odprite namestitev certifikata,
3. vstavite novi Certificate (CRT),
4. preverite ustrezen Private Key,
5. dodajte novi oziroma ustrezen CA Bundle,
6. namestitev potrdite.

Če ponudnik pri obnovi zahteva nov CSR oziroma izvedete Rekey, morate uporabiti zasebni ključ, ki pripada temu novemu CSR.

8. Starfield certifikat in Microsoft IIS

Starfield SSL certifikati se lahko uporabljajo tudi na Microsoft IIS strežnikih.

Najpomembneje je ugotoviti, kje je bil ustvarjen CSR.

Od tega je odvisno, ali potrebujete samo izdani CRT/CER certifikat ali pa morate pripraviti PFX.

9. IIS – če je bil CSR ustvarjen neposredno na IIS strežniku

Če je bil CSR ustvarjen na istem Windows/IIS strežniku, na katerega boste certifikat namestili, je postopek najlažji.

Windows je ob izdelavi CSR že ustvaril in shranil pripadajoči zasebni ključ.

Pri prenosu oziroma prevzemu izdanega Starfield certifikata izberite ustrezen tip strežnika Microsoft IIS, če vam sistem ponuja izbiro vrste strežnika.

Običajno prejmete:

• glavni certifikat .crt oziroma .cer,
• intermediate oziroma chain certifikate, pogosto v obliki .p7b oziroma druge bundle datoteke.

Namestitev IIS 7, 7.5, 8, 8.5 in 10

1. Odprite Internet Information Services (IIS) Manager.
2. Na levi izberite strežnik.
3. Odprite Server Certificates.
4. Na desni kliknite Complete Certificate Request.
5. Izberite izdani CRT oziroma CER certifikat.
6. Vnesite poljubno Friendly Name, na primer ime domene.
7. Postopek zaključite.

S tem se izdani certifikat poveže z zasebnim ključem, ki je nastal pri izdelavi CSR.

Nato certifikat povežite s spletno stranjo

1. V IIS Managerju odprite Sites.
2. Izberite želeno spletno stran.
3. Kliknite Bindings.
4. Dodajte oziroma uredite binding vrste https.
5. Uporabite vrata 443.
6. Izberite pravi SSL certifikat.
7. Spremembo potrdite.

10. Intermediate oziroma CA certifikati na IIS

Pri Starfield certifikatu lahko poleg glavnega certifikata prejmete tudi intermediate certifikate.

Datoteka ima lahko na primer končnico:

.p7b

oziroma ponudnik posreduje drugo datoteko z vmesnimi certifikati.

Na Windows strežniku jo lahko namestite prek Microsoft Management Console (MMC):

1. Zaženite mmc.
2. Izberite File → Add/Remove Snap-in.
3. Dodajte Certificates.
4. Izberite Computer account.
5. Izberite Local computer.
6. Odprite Intermediate Certification Authorities → Certificates.
7. Uporabite All Tasks → Import.
8. Uvozite intermediate oziroma P7B datoteko.

11. IIS – če certifikat prihaja iz cPanela, Apache ali drugega Linux strežnika

Če je bil CSR ustvarjen na cPanelu oziroma Linux strežniku, Windows nima pripadajočega zasebnega ključa v svojem Certificate Store.

V tem primeru imate običajno:

certifikat.crt
private.key
ca-bundle.crt

Za praktičen prenos na IIS je najlažje vse skupaj pretvoriti oziroma združiti v datoteko:

certifikat.pfx

PFX mora vsebovati:

• SSL certifikat,
• pripadajoči zasebni ključ,
• po možnosti celotno CA verigo.

Izdelava PFX z OpenSSL

Če imate OpenSSL, lahko uporabite:

openssl pkcs12 -export -out certifikat.pfx -inkey private.key -in certifikat.crt -certfile ca-bundle.crt

OpenSSL vas bo vprašal za geslo, s katerim bo PFX zaščiten.

Uvoz PFX v IIS

1. Odprite IIS Manager.
2. Izberite strežnik.
3. Odprite Server Certificates.
4. Izberite Import.
5. Izberite datoteko .pfx.
6. Vnesite geslo PFX datoteke.
7. Uvoz potrdite.
8. Nato pri spletni strani odprite Bindings in certifikat povežite z HTTPS na portu 443.

12. Ali je treba CRT vedno pretvoriti v PFX?

Ne.

Če ste CSR izdelali neposredno na IIS strežniku, Windows zasebni ključ že ima. Takrat običajno samo izvedete:

Complete Certificate Request

in namestite izdani CRT oziroma CER certifikat.

PFX potrebujete predvsem takrat, ko:

• certifikat selite z drugega Windows strežnika,
• certifikat selite iz cPanela, Apache ali drugega Linux sistema,
• želite certifikat skupaj z zasebnim ključem prenesti na drug Windows strežnik,
• želite narediti varnostno kopijo certifikata z zasebnim ključem.

13. Razlika med IIS 7/7.5 ter IIS 8/8.5/10

Sam osnovni postopek namestitve certifikata je pri IIS 7 in novejših različicah zelo podoben:

Server Certificates
→ namestitev oziroma uvoz certifikata
→ Site
→ Bindings
→ HTTPS
→ izberete certifikat

Pomembna razlika je predvsem SNI.

IIS 8, 8.5 in 10

IIS 8 in novejši podpirajo Server Name Indication (SNI).

To omogoča, da imate:

• več spletnih strani,
• več različnih SSL certifikatov,
• isti IP naslov,
• isti port 443.

Pri HTTPS bindingu lahko v tem primeru uporabite možnost:

Require Server Name Indication

IIS 7 in 7.5

IIS 7 in IIS 7.5 nimata podpore za SNI.

Če na istem strežniku gostujete več različnih HTTPS strani z različnimi certifikati na standardnih vratih 443, boste zato praviloma potrebovali:

• različne IP naslove,
• ali drugo ustrezno konfiguracijo.

14. Kaj pa zelo star IIS 6?

IIS 6 uporablja starejši način konfiguracije in drugačen administrativni vmesnik.

Osnovni princip pa ostaja isti:

• certifikat mora imeti pripadajoči zasebni ključ,
• certifikat je treba namestiti v Windows Certificate Store,
• nato ga je treba povezati z želeno spletno stranjo.

Ker so sistemi, ki uporabljajo IIS 6, že dolgo zastareli in niso primerni za sodobno javno spletno gostovanje, priporočamo nadgradnjo Windows Serverja oziroma IIS in ne prilagajanja novega SSL okolja tako stari platformi.

15. Namestitev Starfield certifikata na Microsoft Exchange

Spodnja navodila veljajo za lokalni oziroma on-premises Microsoft Exchange Server, na primer Exchange Server 2016, 2019 ali Subscription Edition.

Pri Microsoft 365 oziroma Exchange Online uporabnik ne namešča javnega SSL certifikata na Microsoftove strežnike na ta način.

Če je bil CSR izdelan na Exchange strežniku

Če ste CSR izdelali neposredno na Exchange strežniku, po izdaji certifikata dokončate obstoječi certificate request.

Postopek je odvisen od različice Exchange Serverja in njegovega CU.

Pri novejših različicah je mogoče certifikat upravljati prek Exchange Admin Center, pri nekaterih Exchange 2016/2019 različicah pa se upravljanje opravlja prek Exchange Management Shell.

16. Če certifikat prenašate na Exchange – uporabite PFX

Če certifikat prenašate z drugega strežnika in želite, da Exchange uporablja tudi njegov zasebni ključ, je najprimernejša oblika:

.pfx
ali
.p12

PFX mora vsebovati certifikat in njegov zasebni ključ.

Exchange certifikat nato uvozite prek Exchange Admin Center ali Exchange Management Shell.

Primer za Exchange Management Shell:

Import-ExchangeCertificate -FileData ([System.IO.File]::ReadAllBytes('C:\certifikati\certifikat.pfx')) -Password (Read-Host "Vnesite geslo PFX" -AsSecureString)

Po uvozu preverite certifikate:

Get-ExchangeCertificate

17. Exchange – certifikat morate dodeliti storitvam

Samo uvoz certifikata v Exchange še ne pomeni, da ga Exchange uporablja.

Certifikat morate dodeliti ustreznim Exchange storitvam.

Najpogosteje:

• IIS – Outlook on the web, EAC, ActiveSync, Autodiscover, EWS in druge HTTPS storitve,
• SMTP – po potrebi za TLS pri SMTP komunikaciji.

Primer:

Enable-ExchangeCertificate -Thumbprint VAŠ_THUMBPRINT -Services IIS,SMTP

Thumbprint certifikata lahko preverite z:

Get-ExchangeCertificate

18. Razlike med Exchange različicami

Microsoft je način upravljanja certifikatov med posameznimi Exchange različicami in CU posodobitvami spreminjal.

Na primer:

• Exchange Server 2019 CU15 in novejši omogoča upravljanje certifikatov tudi prek Exchange Admin Center,
• pri Exchange Server 2016 CU23 in nekaterih starejših Exchange 2019 CU različicah se za te postopke uporablja predvsem Exchange Management Shell.

Zato priporočamo, da pred namestitvijo preverite točno različico in CU vašega Exchange strežnika.

19. Najpogostejša napaka – certifikat nima zasebnega ključa

Če Windows oziroma IIS po uvozu certifikata nima pripadajočega zasebnega ključa, certifikata ne boste mogli normalno uporabiti za HTTPS.

Do tega pogosto pride, če:

• uvozite samo CRT certifikat, CSR pa je bil ustvarjen na drugem strežniku,
• je bil Private Key izgubljen,
• certifikat in Private Key ne pripadata istemu CSR,
• ste z Linux strežnika prenesli samo CRT, ne pa tudi KEY datoteke.

Rešitev je:

• pridobiti pravi zasebni ključ in izdelati PFX,
• ali izdelati nov CSR ter pri ponudniku certifikata opraviti Rekey/Reissue.

20. Napaka certifikacijske verige oziroma Intermediate Certificate

Če brskalnik opozarja, da izdajatelju certifikata ne zaupa, čeprav certifikat sam ni potekel, preverite certifikacijsko verigo.

Pri Starfield certifikatih lahko poleg glavnega certifikata prejmete:

• glavni certifikat,
• Starfield intermediate certifikat,
• CA Bundle oziroma P7B datoteko.

Namestiti morate celotno potrebno certifikacijsko verigo.

21. Certifikat je nameščen, HTTPS pa še vedno ne deluje

Če je certifikat nameščen, preverite še:

• ali domena kaže na pravi strežnik,
• ali certifikat vsebuje pravo domeno oziroma SAN imena,
• ali certifikat še velja,
• ali je certifikat povezan s pravim Private Key,
• ali je nameščen CA oziroma intermediate chain,
• ali je na IIS izdelan HTTPS binding na portu 443,
• ali požarni zid dovoljuje TCP port 443,
• ali spletna stran HTTP promet preusmerja na HTTPS, če to želite.

(ssl,ssl certifikat,tls,https,namestitev ssl,cpanel,csr,crt,cer,key,private key,ca bundle,starfield,iis,microsoft iis,iis 7,iis 8,iis 10,pfx,p12,exchange,exchange server,certificate,intermediate certificate,sni)