SSL Automatisering

Windows, IIS och Exchange

På en Windows-server är utfärdandet den enkla delen. Arbetet ligger i vad som ska hända efteråt, och det är också där den manuella förnyelsen brukar gå fel.

Svensk support, vardagar 10-16 +46 10 101 03 34
E-post info@fairssl.se
Betala mot faktura E-faktura via Peppol 30 dagar netto, PDF-faktura 14 dagar netto
Bankgiro (Handelsbanken) 650-4757
E-faktura Peppol för offentlig sektor och företag
VAT-nr DK33075782

Certifikatet ska på tre ställen, inte ett

Ett nytt certifikat på Windows ska importeras i certifikatlagret, ha läsbehörighet på den privata nyckeln för det konto tjänsten kör som, och bindas till webbplatsen. På Exchange ska det dessutom aktiveras för de enskilda tjänsterna. RDS och ADFS binder på tumavtryck, så ett nytt certifikat betyder ett nytt tumavtryck som måste in i konfigurationen.

Importera, sätt behörighet på nyckeln, bind i IIS.
Exchange: aktivera certifikatet för IIS, SMTP, IMAP och POP.
RDS och ADFS: uppdatera tumavtrycket i konfigurationen.

Vad den genererade konfigurationen gör

Guiden i kontrollpanelen skriver en kommandorad för simple-ACME i FairSSL-utgåvan, med kontonyckeln och dina domännamn ifyllda. Samma kommando skapar den schemalagda uppgift som förnyar certifikatet framöver.

Registrerar kontot mot FairSSL ACME-server med EAB.
Hämtar certifikatet och lägger det i Local Machine-lagret.
Sätter behörighet på den privata nyckeln så tjänsten kan läsa den.
Binder i IIS och kör de installationsskript plattformen kräver.

Var certifikatet hamnar

I Windows certifikatlager under Local Machine. IIS-bindningen pekar på det, och på Exchange aktiveras det sedan för IIS, SMTP, IMAP och POP. Det gamla certifikatet ligger kvar i lagret tills det går ut, så en rollback är att flytta tillbaka bindningen.

Det här bör du veta i förväg

Exchange Back End behåller sitt interna Microsoft Exchange-certifikat, och det förnyas för sig med Exchange-verktygen. Ett wildcardcertifikat täcker OWA, EWS och ActiveSync, men SMTP, IMAP och POP använder det bara om det exakta FQDN också står som SAN i certifikatet. IIS 6 till 7.5 kan få certifikatet utfärdat, men bindningen kan behöva göras för hand.

Guider för den här plattformen

Versioner som stöds

Guiden i kontrollpanelen är skriven för de här versionerna. Kör du en äldre version än den som står här, fråga oss innan du beställer.

Windows

Plattform	Versioner	Körs på	ACME-klient	Guide
IIS	VersionerIIS 8 och senare	Körs påWindows Server 2012 eller senare	ACME-klientsimple-acme 2.4.0+ (FairSSL-utgåvan, .NET 10 ingår)	Guide →
IIS (legacy)	VersionerIIS 6.0 till 7.5, IIS-bindningen sätts manuellt	Körs påWindows Server 2008 R2 eller äldre	ACME-klientEn äldre simple-acme-version som fortfarande körs på Windows Server 2008 R2	Guide →
Exchange Server	Versioner2013, 2016, 2019 och Subscription Edition	Körs påWindows Server 2012 eller senare	ACME-klientsimple-acme 2.4.0+ (FairSSL-utgåvan, .NET 10 ingår) + ImportExchange.v3.ps1	Guide →
Remote Desktop Services	VersionerRD Gateway (även utan RD Connection Broker), RD Web Access, RD Web Client, RD Connection Broker och RDP-lyssnaren	Körs påWindows Server 2012 eller senare	ACME-klientsimple-acme 2.4.0+ (FairSSL-utgåvan, .NET 10 ingår) + ImportRDSFullFairSSL.ps1	Guide →
Dynamics NAV / Business Central	VersionerNAV 2013 R2 och senare, alla Business Central-versioner (on-premises)	Körs påWindows Server 2012 eller senare	ACME-klientsimple-acme 2.4.0+ (FairSSL-utgåvan, .NET 10 ingår) + ImportDynamicsNAV.ps1	Guide →
AD FS	VersionerGuiden sätter ingen versionsgräns	Körs påWindows Server 2012 eller senare	ACME-klientsimple-acme 2.4.0+ (FairSSL-utgåvan, .NET 10 ingår) + ImportADFS-WAP.v1.ps1	Guide →
Web Application Proxy	VersionerGuiden sätter ingen versionsgräns	Körs påWindows Server 2012 R2 eller senare	ACME-klientsimple-acme 2.4.0+ (FairSSL-utgåvan, .NET 10 ingår) + ImportADFS-WAP.v1.ps1	Guide →
SQL Server	VersionerGuiden sätter ingen versionsgräns	Körs påWindows Server 2012 eller senare	ACME-klientsimple-acme 2.4.0+ (FairSSL-utgåvan, .NET 10 ingår) + ImportSQL.ps1	Guide →
PRTG Network Monitor	VersionerGuiden sätter ingen versionsgräns	Körs påWindows Server 2012 eller senare	ACME-klientsimple-acme 2.4.0+ (FairSSL-utgåvan, .NET 10 ingår) + ImportPRTG.ps1	Guide →
Apache Tomcat	Versioner8.5, 9.x, 10.x och 11.x	Körs påWindows Server 2012 eller senare	ACME-klientsimple-acme 2.4.0+ (FairSSL-utgåvan, .NET 10 ingår) + ImportTomcat.ps1	Guide →
Annan Windows-tjänst	VersionerCertifikatarkivet, PFX eller PEM, med ditt eget skript	Körs påWindows Server 2012 eller senare	ACME-klientsimple-acme 2.4.0+ (FairSSL-utgåvan, .NET 10 ingår) + ImportCustomWindows.ps1	Guide →
Flera Windows-servrar	VersionerMottagarna: Windows Server 2012 eller senare med PowerShell 5.1 och WinRM	Körs påWindows Server 2012 eller senare	ACME-klientsimple-acme 2.4.0+ (FairSSL-utgåvan, .NET 10 ingår) + DistributeToWindowsServers.ps1	Guide →

Validering utan att öppna något in mot servern

En ACME-klient som validerar över HTTP kräver att port 80 är öppen in mot servern. En klient som validerar över DNS kräver en API-nyckel till din DNS-leverantör, och den nyckeln ligger då på servern med skrivbehörighet till din zon. Interna servrar och appliances klarar sällan någondera.

Den enda CNAME du skapar per domän

_dnsauth.<domain> CNAME <hash>.autodns.fairssl.dk

Du skapar den en gång per registrerad domän. FairSSL skriver CA:ns valideringspost i vår egen zon, och du rör inte din DNS igen vid förnyelse.

En post per domän

Wildcard, SAN-namn och nya underdomäner på samma registrerade domän använder samma CNAME-vidarebefordran.

Inga DNS-nycklar på servern

Klienten får aldrig åtkomst till din DNS-zon. En komprometterad server kan därför inte ändra dina DNS-poster.

Utgående HTTPS, ingen inkommande regel

Servern måste kunna anropa fairssl.dk över HTTPS. Någon inkommande regel i brandväggen behövs inte, och servern behöver ingen publik adress.

Så fungerar AutoDNS →

Vad som övervakas när klienten kör

En automatisering som stannar utan att säga till är sämre än en förnyelse i kalendern. Vi mäter därför både certifikatet och den klient som ska förnya det.

Förnyelsefönster varje timme

Vi frågar CA:n via ARI när certifikatet bör förnyas och kontrollerar varje timme. Svarar CA:n inte faller vi tillbaka på 21 och 7 dagar före utgång.

Klienten slutar höra av sig

Börjar en klient checka in hälften så ofta som den ska skickar vi en varning. Ett certifikat kan vara giltigt långt efter att klienten som skulle förnya det har slutat köra.

Om installationen lyckades

Windows-klienten rapporterar resultatet av installationen tillbaka. Ett certifikat som är utfärdat men inte bundet till webbplatsen räknas som ett fel.

E-postlarm per profil

Larm ställs in per profil, så drift och utveckling kan få besked på var sin adress.

Övervaknings-API

Status kan hämtas som JSON eller läsas direkt av PRTG och Prometheus, så certifikaten syns i det övervakningssystem ni redan tittar på.

Certifikat utan automatisering

Certifikat som inte körs automatiskt får utgångsmail 28 dagar och 7 dagar före utgång.

Administration, profiler och behörigheter →

Vad automatiseringen kostar

Avgiften betalas per huvudcertifikat, per år, utöver priset på själva certifikatet.

370 SEK per huvudcertifikat och år

Kortare giltighetstid betyder fler utfärdanden per år. Antalet utfärdanden ändrar inte priset: du betalar för certifikatet under förvaltning, inte per förnyelse.

Upp till 25 servrar som använder certifikatet ingår i avgiften. Varje server får sitt eget återutfärdade certifikat.
Återutfärdanden kostar inget extra.
Ändringar i certifikatets SAN-namn kostar inget extra.
Fler ACME-klienter som använder samma certifikat kostar inget extra.

Ytterligare ett certifikat prissätts för sig: certifikatets eget pris plus avgiften för ett år.

Räkneexempel och prisdetaljer →

Från beställning till ett certifikat som förnyar sig självt

Steg tre finns inte i en generisk ACME-guide: konfigurationen skrivs för din plattform.

1
Beställ certifikatet i kontrollpanelen och slå på automatisering för det.
2
Skapa CNAME-vidarebefordran för domänen. En gång per registrerad domän.
3
Välj din plattform i guiden. Portalen skriver konfigurationskommandot med kontonyckel och domäner ifyllda, och du kopierar det med en knapp.
4
Kör kommandot på servern. Klienten hämtar certifikatet, installerar det och förnyar det sedan själv.

Klienten för Windows paketerar vi själva och bygger dagligen. Linux och macOS använder stock lego, som det genererade kommandot anropar. Hämta Windows-klienten

Kom igång i kontrollpanelen →

Support via e-post och telefon är kostnadsfri före, under och efter installationen. Fjärrinstallation är ett tillval till fast pris.

Hitta din plattform

Guiden i kontrollpanelen skriver konfigurationen för den plattform du väljer, med kontonyckel och domäner ifyllda. Du kopierar den med en knapp och kör den på servern.

Windows

Simple-ACME i FairSSL-utgåvan hämtar certifikatet, installerar det i certifikatlagret och binder det till webbplatsen eller tjänsten.

IIS 8+, IIS 6-7.5, Exchange, RDS, ADFS, WAP, SQL Server, PRTG, Dynamics NAV/BC, Tomcat

Linux

Stock lego med FairSSL som ACME-server. Det genererade kommandot skriver certifikatet och reloadar tjänsten efteråt.

nginx, Apache, HAProxy, Traefik, Caddy, Postfix, lego

Se konfigurationen →

macOS

Lego, med samma konfiguration som på Linux.

lego

Appliances

FortiGate 7.6.3 och F5 BIG-IP 21.1.0 och senare talar ACME själva. Äldre versioner och de övriga lådorna hämtar certifikatet via en agent eller en enrollment-URL.

FortiGate, FortiMail, FortiWeb, NetScaler ADC, F5 BIG-IP, Kemp LoadMaster, Cisco ASA, Cisco FDM, Kubernetes cert-manager

Se konfigurationen →

Det här ingår inte

Guiden skriver ingen konfiguration för pfSense, Synology, Palo Alto eller Sophos. Kör du någon av dem, fråga oss innan du köper så tittar vi på vad som går att göra.

Certifikat på många servrar och appliances

Ett offentligt SSL-certifikat får vara giltigt i högst 199 dagar nu, 99 dagar senast 2027-03-15 och 46 dagar senast 2029-03-15. Varje certifikat måste då bytas minst två gånger om året nu och minst åtta gånger om året från 2029, på varje server, brandvägg och lastbalanserare där det används. sslbrain från FairSSL körs som en appliance i ert eget nätverk och förnyar och installerar certifikaten från ett ställe, även på utrustning utan agent.

Så ansluter ni Windows-servrar till sslbrain