SSL Automatisering

FortiGate

Certifikatet på en FortiGate sitter oftast på SSL VPN och på administrationsgränssnittet. Det är de två ställen där en utgången fil upptäcks av en användare som inte kommer in.

Svensk support, vardagar 10-16 +46 10 101 03 34
E-post info@fairssl.se
Betala mot faktura E-faktura via Peppol 30 dagar netto, PDF-faktura 14 dagar netto
Bankgiro (Handelsbanken) 650-4757
E-faktura Peppol för offentlig sektor och företag
VAT-nr DK33075782

Manuellt byte rör den åtkomst du själv använder

Ett nytt certifikat ska laddas upp, bindas till SSL VPN och eventuellt till administrationsgränssnittet. SSL VPN håller certifikatet i minnet, så bindningen måste flyttas bort och tillbaka innan den nya filen tas i bruk. Det är några minuters arbete, och det ligger på den enhet där man minst vill göra fel.

Vad den genererade konfigurationen gör

Från FortiOS 7.6.3 talar FortiGate ACME själv med External Account Binding. Guiden skriver konfigurationsblocket med FairSSL som ACME-server, ditt EAB-nyckelpar och det domännamn certifikatet ska täcka. Enheten sparar ACME-kontot internt och förnyar själv.

Skapar ett lokalt certifikatobjekt med enrollment satt till ACME.
Pekar på FairSSL ACME-server och använder dina EAB-nycklar.
Anger hur många dagar före utgång enheten ska förnya.
Objektet binds till SSL VPN och eventuellt till admingränssnittet.

Var certifikatet hamnar

Som ett lokalt certifikatobjekt på enheten. Du binder objektet till SSL VPN, och samma objekt kan bindas till flera tjänster. Alla bindningar på objektet får det förnyade certifikatet utan att bindningen behöver röras igen.

Det här bör du veta i förväg

ACME med EAB kräver FortiOS 7.6.3 eller senare. Tidigare 7.6-versioner har ACME utan EAB, vilket inte går att använda mot en kommersiell CA. Den inbyggda klienten är tänkt för ett FQDN, så wildcard och flera SAN-namn går via en värd med Lego eller simple-ACME som skjuter in certifikatet över enhetens API. FortiMail har ingen inbyggd ACME-klient. FortiWeb har den från 8.0.3.

Guider för den här plattformen

Versioner som stöds

Guiden i kontrollpanelen är skriven för de här versionerna. Kör du en äldre version än den som står här, fråga oss innan du beställer.

Plattform	Versioner	Körs på	ACME-klient
FortiGate	VersionerFortiOS 7.6.3 och senare	Körs påEnheten själv	ACME-klientEnhetens inbyggda ACME-klient med EAB
FortiGate	VersionerFortiOS före 7.6.3	Körs påWindows Server 2016 eller senare, eller 2012/2012 R2 med WMF 5.1 (PowerShell 5.1)	ACME-klientsimple-acme 2.4.0+ (FairSSL-utgåvan, .NET 10 ingår) + Posh-SSH, CredentialManager
FortiGate	VersionerFortiOS före 7.6.3	Körs påEn Linux-server som skickar certifikatet till enheten	ACME-klientlego 5.0.4+
FortiMail	VersionerGuiden sätter ingen versionsgräns	Körs påWindows Server 2016 eller senare, eller 2012/2012 R2 med WMF 5.1 (PowerShell 5.1)	ACME-klientsimple-acme 2.4.0+ (FairSSL-utgåvan, .NET 10 ingår) + Posh-SSH, CredentialManager
FortiMail	VersionerGuiden sätter ingen versionsgräns	Körs påEn Linux-server som skickar certifikatet till enheten	ACME-klientlego 5.0.4+
FortiWeb	VersionerGuiden sätter ingen versionsgräns	Körs påWindows Server 2016 eller senare, eller 2012/2012 R2 med WMF 5.1 (PowerShell 5.1)	ACME-klientsimple-acme 2.4.0+ (FairSSL-utgåvan, .NET 10 ingår) + FortiWeb REST API, CredentialManager

Validering utan att öppna något in mot servern

En ACME-klient som validerar över HTTP kräver att port 80 är öppen in mot servern. En klient som validerar över DNS kräver en API-nyckel till din DNS-leverantör, och den nyckeln ligger då på servern med skrivbehörighet till din zon. Interna servrar och appliances klarar sällan någondera.

Den enda CNAME du skapar per domän

_dnsauth.<domain> CNAME <hash>.autodns.fairssl.dk

Du skapar den en gång per registrerad domän. FairSSL skriver CA:ns valideringspost i vår egen zon, och du rör inte din DNS igen vid förnyelse.

En post per domän

Wildcard, SAN-namn och nya underdomäner på samma registrerade domän använder samma CNAME-vidarebefordran.

Inga DNS-nycklar på servern

Klienten får aldrig åtkomst till din DNS-zon. En komprometterad server kan därför inte ändra dina DNS-poster.

Utgående HTTPS, ingen inkommande regel

Servern måste kunna anropa fairssl.dk över HTTPS. Någon inkommande regel i brandväggen behövs inte, och servern behöver ingen publik adress.

Så fungerar AutoDNS →

Vad som övervakas när klienten kör

En automatisering som stannar utan att säga till är sämre än en förnyelse i kalendern. Vi mäter därför både certifikatet och den klient som ska förnya det.

Förnyelsefönster varje timme

Vi frågar CA:n via ARI när certifikatet bör förnyas och kontrollerar varje timme. Svarar CA:n inte faller vi tillbaka på 21 och 7 dagar före utgång.

Klienten slutar höra av sig

Börjar en klient checka in hälften så ofta som den ska skickar vi en varning. Ett certifikat kan vara giltigt långt efter att klienten som skulle förnya det har slutat köra.

Om installationen lyckades

Windows-klienten rapporterar resultatet av installationen tillbaka. Ett certifikat som är utfärdat men inte bundet till webbplatsen räknas som ett fel.

E-postlarm per profil

Larm ställs in per profil, så drift och utveckling kan få besked på var sin adress.

Övervaknings-API

Status kan hämtas som JSON eller läsas direkt av PRTG och Prometheus, så certifikaten syns i det övervakningssystem ni redan tittar på.

Certifikat utan automatisering

Certifikat som inte körs automatiskt får utgångsmail 28 dagar och 7 dagar före utgång.

Administration, profiler och behörigheter →

Vad automatiseringen kostar

Avgiften betalas per huvudcertifikat, per år, utöver priset på själva certifikatet.

370 SEK per huvudcertifikat och år

Kortare giltighetstid betyder fler utfärdanden per år. Antalet utfärdanden ändrar inte priset: du betalar för certifikatet under förvaltning, inte per förnyelse.

Upp till 25 servrar som använder certifikatet ingår i avgiften. Varje server får sitt eget återutfärdade certifikat.
Återutfärdanden kostar inget extra.
Ändringar i certifikatets SAN-namn kostar inget extra.
Fler ACME-klienter som använder samma certifikat kostar inget extra.

Ytterligare ett certifikat prissätts för sig: certifikatets eget pris plus avgiften för ett år.

Räkneexempel och prisdetaljer →

Från beställning till ett certifikat som förnyar sig självt

Steg tre finns inte i en generisk ACME-guide: konfigurationen skrivs för din plattform.

1
Beställ certifikatet i kontrollpanelen och slå på automatisering för det.
2
Skapa CNAME-vidarebefordran för domänen. En gång per registrerad domän.
3
Välj din plattform i guiden. Portalen skriver konfigurationskommandot med kontonyckel och domäner ifyllda, och du kopierar det med en knapp.
4
Kör kommandot på servern. Klienten hämtar certifikatet, installerar det och förnyar det sedan själv.

Klienten för Windows paketerar vi själva och bygger dagligen. Linux och macOS använder stock lego, som det genererade kommandot anropar. Hämta Windows-klienten

Kom igång i kontrollpanelen →

Support via e-post och telefon är kostnadsfri före, under och efter installationen. Fjärrinstallation är ett tillval till fast pris.

Hitta din plattform

Guiden i kontrollpanelen skriver konfigurationen för den plattform du väljer, med kontonyckel och domäner ifyllda. Du kopierar den med en knapp och kör den på servern.

Windows

Simple-ACME i FairSSL-utgåvan hämtar certifikatet, installerar det i certifikatlagret och binder det till webbplatsen eller tjänsten.

IIS 8+, IIS 6-7.5, Exchange, RDS, ADFS, WAP, SQL Server, PRTG, Dynamics NAV/BC, Tomcat

Se konfigurationen →

Linux

Stock lego med FairSSL som ACME-server. Det genererade kommandot skriver certifikatet och reloadar tjänsten efteråt.

nginx, Apache, HAProxy, Traefik, Caddy, Postfix, lego

Se konfigurationen →

macOS

Lego, med samma konfiguration som på Linux.

lego

Appliances

FortiGate 7.6.3 och F5 BIG-IP 21.1.0 och senare talar ACME själva. Äldre versioner och de övriga lådorna hämtar certifikatet via en agent eller en enrollment-URL.

FortiGate, FortiMail, FortiWeb, NetScaler ADC, F5 BIG-IP, Kemp LoadMaster, Cisco ASA, Cisco FDM, Kubernetes cert-manager

Det här ingår inte

Guiden skriver ingen konfiguration för pfSense, Synology, Palo Alto eller Sophos. Kör du någon av dem, fråga oss innan du köper så tittar vi på vad som går att göra.

Certifikat på många servrar och appliances

Ett offentligt SSL-certifikat får vara giltigt i högst 199 dagar nu, 99 dagar senast 2027-03-15 och 46 dagar senast 2029-03-15. Varje certifikat måste då bytas minst två gånger om året nu och minst åtta gånger om året från 2029, på varje server, brandvägg och lastbalanserare där det används. sslbrain från FairSSL körs som en appliance i ert eget nätverk och förnyar och installerar certifikaten från ett ställe, även på utrustning utan agent.

Så förnyar och installerar sslbrain certifikat på FortiGate