PRTG Network Monitor: SSL-certifikat via ACME

Paessler PRTG bruger sit eget PEM-filformat til webserveren i stedet for Windows Certificate Store. simple-acme og FairSSLs ImportPRTG-script automatiserer hele processen: udstedelse, konvertering til PRTG- formatet, backup af de gamle filer og genstart af PRTG Core Service.

Opsætning

Trin 1: Installer simple-acme

Hent FairSSL-udgaven af simple-acme (forudkonfigureret med korrekte ACME-indstillinger og indeholder ImportPRTG.ps1 i Scripts- mappen). Udpak til C:\simple-acme på PRTG Core Server. Du behøver ikke en separat management-vært - PRTG-serveren kører selv simple-acme.

Trin 2: Klargør miljøet

Domænet er konfigureret til FairSSL AutoDNS.
Brugerne tilgår PRTG på det DNS-navn, der står i certifikatet (ikke en lokal IP).
Kommandoprompt køres som administrator på PRTG Core Server.
ImportPRTG-scriptet finder selv PRTG-programmappen via servicen, registreringsdatabasen og standardinstallationsstierne.

Trin 3: Bestil certifikatet og installer

Kør kommandoen fra C:\simple-acme som administrator. simple-acme udsteder certifikatet via FairSSL AutoDNS, gemmer PEM-filerne, kører ImportPRTG-scriptet, tager backup af de eksisterende PRTG- filer, skriver prtg.crt, prtg.key og root.pem og genstarter PRTG Core Service.

wacs.exe --verbose --baseuri "https://fairssl.dk/acme" `
  --eab-key-identifier DIN_EAB_KID --eab-key DIN_EAB_HMAC --accepttos `
  --source manual --host "prtg.eksempel.dk" --validation none `
  --store pemfiles --pemfilespath "C:\simple-acme\Certificates" `
  --pemfilesname "prtg-eksempel-dk" --friendlyname "fairssl-prtg-cert" `
  --installation script --script ".\Scripts\ImportPRTG.ps1" `
  --scriptparameters "C:\simple-acme\Certificates prtg-eksempel-dk"

Trin 4: Tilpasset PRTG-installationssti (valgfrit)

Hvis PRTG er installeret på en ikke-standard sti, og autodetektion ikke finder cert-mappen, kan den angives som tredje scriptparameter:

--scriptparameters "C:\simple-acme\Certificates prtg-eksempel-dk \"D:\PRTG Network Monitor\cert\""

Trin 5: Verificér

Åbn PRTG-webinterfacet i en browser og kontrollér, at det nye certifikat vises.
Kontrollér at PRTG cert-mappen indeholder prtg.crt, prtg.key og root.pem.
Hvis remote probes også skal bruge webservercertifikatet, så kopiér de samme tre filer til cert-mappen på den enkelte probe.
Bekræft offentligt med FairSSLs SSL-scanner.

Fejlfinding

Browseren viser stadig det gamle certifikat

PRTG cacher webservercertifikatet, indtil Core Service genstartes. ImportPRTG-scriptet genstarter automatisk PRTG Core Service, men hvis du har kørt scriptet med en bruger uden ret til at genstarte tjenester, så genstart manuelt: Restart-Service PRTGCoreService.

Scriptet stopper: "kildenøglen ser krypteret ud"

PRTG kan ikke håndtere passphrase-beskyttede private nøgler. Kør simple-acme uden --pemfiles-password eller fjern eventuel kryptering inden upload. simple-acme producerer som standard ukrypterede PEM-filer, så du skal aktivt have tilføjet en password-parameter for at ramme denne fejl.

ImportPRTG kan ikke finde PRTG-programmappen

Standardplaceringen er C:\Program Files (x86)\PRTG Network Monitor. Hvis PRTG kører fra en anden mappe, så angiv stien til cert-undermappen som tredje scriptparameter (se Trin 4). Tjek også at PRTGCoreService-tjenesten kører, så scriptet kan slå ImagePath op.

Ofte stillede spørgsmål

Find svar på de mest almindelige spørgsmål om SSL certifikater og FairSSL.

Hvor lægger PRTG sit webserver-certifikat?

PRTG kører på Windows, men den bruger ikke Windows Certificate Store til webserveren. Den læser tre filer fra cert-mappen i PRTG-programmappen: prtg.crt (certifikatet), prtg.key (den private nøgle, ukrypteret) og root.pem (CA-kæden). Vores ImportPRTG-script skriver præcis disse tre filer, tager backup af de gamle og genstarter PRTG Core Service.

Vil fornyelsen afbryde overvågningen?

Kun kortvarigt. PRTG Core Service genstartes, hvilket pauser web-UI'et og selve overvågningen i nogle få sekunder. Probes på samme server fortsætter med at indsamle data, og remote probes mister højst en enkelt scan. Vi anbefaler at planlægge fornyelsen uden for vagtskifter, hvis det betyder noget for jer.

Hvad med remote probes?

Hvis dine remote probes også skal præsentere det samme webservercertifikat, skal de tre filer (prtg.crt, prtg.key, root.pem) kopieres ind i cert-mappen på den enkelte probe-vært. Selve sikkerheden mellem probe og Core Server bruger PRTG's egen interne signering og er upåvirket af webservercertifikatet.

PRTG findes på en uventet sti. Hvad gør jeg?

ImportPRTG-scriptet finder normalt PRTG-programmappen automatisk via servicen, registreringsdatabasen og standardinstallationsstier. Hvis du har installeret PRTG på en ikke-standard placering (fx D:\PRTG Network Monitor), kan du give cert-mappen som tredje scriptparameter, så autodetektionen springes over.

Kræver PRTG en ukrypteret privat nøgle?

Ja. PRTG kan ikke håndtere passphrase-beskyttede nøgler. simple-acme udsteder den private nøgle ukrypteret som standard, og ImportPRTG-scriptet normaliserer linjeskift, så filerne læses korrekt. Scriptet stopper inden installationen, hvis kildenøglen ser krypteret ud.

Hvad sker der ved fornyelse?

simple-acme planlægger automatisk en daglig opgave. Når ARI eller den indbyggede 7-dages fallback udløser fornyelse, hentes et nyt certifikat, ImportPRTG-scriptet køres igen, og PRTG Core Service genstartes med de nye filer. Ingen manuel handling.

Klar til at automatisere PRTG-certifikater?

Opret en gratis konto og udsted dit første certifikat på under 10 minutter.

Opret gratis konto Sammenlign certifikater