En este post vamos a ver como generar un certificado para SSL/SSH Inspection en un firewall Fortigate y firmarlo con nuestra entidad certificadora CA de Active Dircetory.

• Accedemos a nuestro servidor CA de Active Directory y ejecutamos certsrv.msc para crear una nueva plantilla de Entidad de certificación subordinada, ragasys-ADCS-CA > Plantillas de certificado > Administrar:

• Sobre Entidad de certificación subordinada damos a Plantilla duplicada:

• Sobre General, le indicamos un nombre y el periodo de validez, Aceptar:

• Como vemos, aquí la tenemos creada:

• Volvemos a la consola certsrv.msc y sobre Plantillas de certificado > Nuevo > Plantilla de certificado que se va a emitir:

• Seleccionamos la plantilla que habíamos creado y Aceptar:

• Como podemos ver, ya tenemos la plantilla operativa:

• Ahora vamos a generar el CSR desde nuestro Fortigate, System > Certificates > Generate:

• Le indicamos los datos necesarios y damos a OK:

• Como vemos, se nos queda la solicitud pendiente, damos a Descargar:

• Aquí tenemos el CSR descargado:

• Sobre nuestra CA solicitamos un certificado, solicitud avanzada de certificado:

• Copiamos el contenido del CSR, seleccionamos la plantilla que creamos anteriormente y damos a Enviar:

• Descargamos el certificado y la cadena de certificado (aunque la cadena no nos hará falta), codificado en Base64:

• Nos descargamos también el certificado de la CA en Base 64:

• Ahora sobre nuestro Fortigate, vamos a System > Certificates seleccionamos la solicitud pendiente y seleccionamos Import > Local Certificate:

• Subimos el certificado firmado por nuestra CA de Active Directory:

• Como podemos ver, aquí tenemos el certificado operativo firmado por nuestra CA y listo para usar con los perfiles de SSL/SSH Inspection:

• También debemos importar el certificado de nuestra CA de Active Directory, que nos descargamos anteriormente:

• Como podemos ver, aquí tenemos el certificado de nuestra CA de Active Directory:

• Ahora si accedemos a Security Profiles > SSL/SSH Inspection y seleccionamos cualquiera de nuestros perfiles para editar, vemos que ya podemos utilizar el certificado firmado por nuestra propia CA:

Saludos y espero que os resulte de ayuda

La entrada Fortigate – Generar certificado para SSL/SSH Inspection y firmarlo con CA de Active Directory se publicó primero en RAGASYS SISTEMAS.

En este post vamos a ver cómo preparar un certificado SSL Wildcard para después desplegarlo sobre un servidor Apache Linux haciendo las funciones de FrontalWeb.

Los certificados SSL Wildcard protegen la dirección URL de tu sitio web, así como también un número ilimitado de sus subdominios. Por ejemplo, un certificado Wildcard individual puede proteger www.ragasys.com, blog.ragasys.com y tienda.ragasys.com

Estos certificados protegen el nombre común y todos los subdominios con el nivel que desees especificar cuando envíes tu solicitud. Simplemente agrega un asterisco (*) en el área del subdominio a la izquierda del nombre común.

Fuente: https://es.godaddy.com/help/que-es-un-certificado-ssl-wildcard-567

• Para preparar nuestro certificado SSL Wildcard, tenemos montada en nuestra infraestructura una entidad emisora de certificados, en este link de este mismo blog podemos ver como montarlo.
• Lo primero que vamos a realizar será crear una petición de firma de certificado, para ello accedemos al IIS (Internet Information Services) de nuestra entidad emisora de certificados, nos situamos sobre el servidor ADCS > Certificados del servidor:

• Sobre Certificados de servidor, damos clic sobre Crear una solicitud de certificado:

• En las Propiedades de nombre distintivo, Introducimos los datos para la información requerida para el certificado que queremos generar, en nombre común utilizamos el * para que sea válido con cualquier subdomino de nuestra infraestructura:

• En las Propiedades de proveedor de servicios criptográficos, utilizamos RSA con 2048 bits:

• Sobre Nombre de archivo, le indicamos la ruta y el nombre, clic sobre Finalizar:

• Como podemos ver aquí tenemos la solicitud de certificado creada:

• Una vez que tenemos la solicitud de certificado creada, accedemos a nuestra CA https://adcs.ragasys.net/certsrv/ y solicitamos un certificado:

• Solicitamos una solicitud avanzada de certificado:

• Copiamos el contenido del fichero .txt que nos generó la solicitud de certificado, como plantilla seleccionamos Servidor web, y damos clic a Enviar:

• Ahora seleccionamos la opción Codificado en DER y nos descargamos el certificado y la cadena de certificado:

• Ahora nos vamos a descargar el certificado que utiliza nuestra CA, para ello volvemos al inicio de la web de CA, y clicamos sobre Descargar un certificado de CA:

• Seleccionamos DER y clic sobre Descargar certificado CA:

• Como vemos aquí lo tenemos descargado:

• Ahora vamos a completar la solicitud de certificado que hemos generado, para ello, desde nuestro IIS sobre Certificados de servidor, clicamos sobre Completar solicitud de certificado:

• Seleccionamos el certificado que nos hemos creado, le damos un nombre y seleccionamos el almacén, clc sobre Aceptar:

• Como podemos ver ya lo tenemos disponible en la lista de certificados de nuestro IIS:

• Si nos abrimos una consola mmc podemos ver el certificado que nos hemos creado:

• Para terminar, vamos a preparar el certificado SSL Wildcard para exportarlo como PFX, para ello, desde nuestro IIS, seleccionamos el certificado, y damos clic sobre Exportar:

• La asignamos un nombre y contraseña al certificado:

• Como podemos ver aquí lo tenemos exportado como fichero PFX:

• Con todo esto que hemos realizado, ya tendríamos preparado el certificado SSL wildcard para desplegarlo sobre nuestro FrontalWeb con Apache Linux, pero esto será en otro post.

Saludos y espero que os sea de ayuida

La entrada Generar certificados SSL Wildcard en IIS para desplegarlos sobre nuestros Servidores se publicó primero en RAGASYS SISTEMAS.

En los próximos post vamos a hablar sobre la instalación, configuración y administración de servidores en un entorno con Microsoft Windows Server 2016, los iremos entregando “poquito a poco”, en esta serie de post empezaremos por lo básico, como puede ser la instalación del sistema operativo, más adelante instalaremos y configuraremos muchos de sus roles y características como pueden ser, Active Directory, DNS, DHCP, Servidor de ficheros, Servidor de impresión, WSUS, RDS, etc…; también montaremos una infraestructura de correo empresarial con MS Exchange 2016, veremos como implementar una suite de seguridad para empresas con los productos de Fortinet, concretamente con Forticlient Enterprise Management Server, y bueno, seguro que se me van ocurriendo más instalaciones y configuraciones para añadir a esta infraestructura.

La topología que hemos configurado y desarrollado sería la siguiente, esta topología seguramente irá cambiando a medida que vayamos añadiendo servidores, según los roles y características que en cada momento necesitemos:

Explicaremos un poco esta topología, tendremos una oficina central situada en Madrid y cuatro oficinas remotas (Barcelona, Valencia, Bilbao y Sevilla) que conectamos a través de VPN con la sede central en Madrid.

El direccionamiento IP utilizado será el siguiente:

• Para la sede principal en Madrid: 192.168.5.0/24 (Inside), 192.168.14.0/24 (Outside), 192.168.3.0/24 (DMZ)
• Para la sede remota en Barcelona: 192.168.6.0/24
• Para la sede remota en Valencia: 192.168.7.0/24
• Para la sede remota en Bilbao: 192.168.8.0/24
• Para la sede remota en Sevilla: 192.168.9.0/24

Este post lo vamos a dividir en: (en esta parte iremos añadiendo los artículos a medida que los vayamos realizando)

• Ediciones, licenciamiento y requisitos mínimos del sistema MS Windows Server 2016
• Instalación MS Windows Server 2016 – Administrador del servidor
• Controlador de dominio sobre MS Windows Server 2016, DNS y DHCP
• Organización de Active Directory sobre MS Windows Server 2016
• Organización Sitios Y Servicios de Active Directory sobre MS Windows Server 2016
• Agregar un controlador de dominio adicional sobre MS Windows Server 2016
• Administración de directivas de grupo (GPO) sobre Microsoft Windows Server 2016
• GPO para delegar tareas administrativas del Active Directory a otros Administradores de sistemas
• Instalación y configuración de un Servidor de Ficheros en MS Windows Server 2016
• ………………………………………………………………………………

Saludos y espero que os guste, ya que estos artículos, me van a llevar horas planificarlos y realizarlos

La entrada Instalación, configuración y administración de servidores en un entorno Microsoft Windows Server 2016 se publicó primero en RAGASYS SISTEMAS.

Os podéis apuntar desde este link Instalación y configuración de Windows Server 2016

Acerca de este curso

La entrada Instalación y configuración de Windows Server 2016 por Jair Gómez se publicó primero en RAGASYS SISTEMAS.

Después de unas buenas y merecidas vacaciones con la familia y amigos, dónde hemos podido recargar baterías y coger fuerzas para esta segunda parte del año volvemos con un nuevo post sobre los certificados en MS Exchange 2013.

En este post vamos a ver los certificados en MS Exchange 2013 para asegurar el acceso a los servicios del servidor de correos, podemos utilizar tres tipos de certificados:

• Certificado autofirmado, al instalar Exchange 2013 se genera automáticamente un certificado autofirmado (self signed) habilitado para IIS, POP, IMAP y SMTP, este certificado incluye los nombres de host y FQDN del servidor, por ejemplo, mail01, mail01.ragasys.net. El certificado autofirmado habilita de forma predeterminada  a que los servicios de Exchange sean accedidos de forma segura, cumpliendo así la función básica, pero presenta el inconveniente de que los clientes no confían en el certificado, llegando incluso a no poder conectar.

• Certificado interno, este certificado es emitido por una entidad certificadora (CA) interna.   Esta CA podría estar integrada con Active Directory o no y funcionar del modo “stand alone”. Para usar este tipo de certificado es necesario contar con una CA interna instalada para este propósito.

• Certificado público o externo, este tipo de certificado es el que en general se recomienda para cualquier servicio expuesto en Internet, para obtenerlo es necesario una entidad certificadora externa como Digicert, Godaddy, entre otras. Este certificado a diferencia del autofirmado y del interno tiene un costo directo al momento de la compra y en función al tipo, cantidad de nombres y tiempo de validez tendrá un precio u otro. El certificado público es ideal ya que puede ser utilizado interna como externamente, y sería   confiable en clientes internos, externos, dispositivos móviles, etc… de forma predeterminada.

• Una vez realizada esta introducción, vamos a acceder a nuestro Exchange 2013 y veremos que los certificados que tenemos operativos son los certificados autofirmados que nos genera automáticamente la instalación de Exchange:

• En nuestro caso, ya que tenemos instalada y configurada una entidad certificadora interna, vamos a usar un certificado interno para asegurar el acceso a los servicios de Exchange 2013, para solicitar un nuevo certificado, independientemente del tipo de certificado a utilizar, ya sea interno o público, el procedimiento a seguir sería:
• 1. Generar la solicitud de certificado (CSR) en Exchange.
• 2. Procesar la solicitud con una entidad certificadora interna o externa.
• 3. Completar la solicitud pendiente en Exchange con el archivo devuelto por la CA.
• 4. Habilitar el certificado para que los servicios de Exchange puedan utilizarlo.

• Vamos con el primer paso, que sería Generar la solicitud de certificado (CSR) en Exchange, para ello nos vamos a Servidores > Certificados > +, el certificado autofirmado con el que interactúan los clientes es el que se llama Microsoft Exchange, los otros dos se recomienda no modificarlos:

• Se nos abre este asistente, donde vamos configurando lo siguiente, primero elegimos “Crear una solicitud para un certificado desde una entidad de certificación”:

• Le asignamos un nombre descriptivo:

• Clic en “siguiente”:

• Hacemos clic en Examinar y seleccionamos el servidor donde realizar la solicitud:

• Aquí nos aparecen los dominios que tenemos definidos para cada servicio, clic en siguiente:

• Dejamos los dominios que nos interesan, clic en “siguiente”:

• Completamos la información de la organización y hacemos clic en siguiente:

• Especificamos una ruta UNC válida para guardar la solicitud, clic en “Finalizar”:

• La carpeta share en el servidor mail01 la hemos compartido y le hemos asignado los permisos necesarios:

• Verificamos que el archivo se ha creado correctamente y que la solicitud se encuentra como “Pedido pendiente”:

• Vamos con el segundo paso, que sería Procesar la solicitud con una entidad certificadora interna, entidad que ya configuramos en un post anterior, para ello accedemos a nuestra CA interna a través de la URL https://adcs/certsrv y damos clic a “Solicitar un certificado”:

• Clic en solicitud avanzada de certificado:

• Clic en la segunda opción:

• Abrimos con el bloc de notas el archivo con extensión REQ que creamos anteriormente y copiamos todo el texto:

• En la ventana “Enviar una solicitud de certificado o una solicitud de renovación, pegamos el texto del archivo REQ en “Guardar solicitud” y seleccionamos Servidor web en “Plantilla de certificado”, clic a “Enviar”:

• Seleccionamos la opción “Codificado en Base64” y clic en Descargar certificado:

• Guardamos el certificado en la carpeta share que hemos compartido anteriormente:

• Vamos con el tercer paso, que sería Completar la solicitud pendiente en Exchange con el archivo devuelto por la CA, para ello nos vamos a la consola de Exchange y sobre Servidores > Certificados seleccionamos el Pedido pendiente y damos clic a “Completo” para completar la solicitud:

• Ingresamos la ruta UNC donde se encuentra el certificado que descargamos anteriormente de nuestra CA interna, aceptamos para finalizar:

• Como podemos ver ya tenemos el certificado operativo, tarda un poco en pasar de No válido a Válido:

• Vamos con el cuarto y último paso, que sería, Habilitar el certificado para que los servicios de Exchange puedan utilizarlo, para ello nos vamos a la consola de Exchange y sobre Servidores > Certificados seleccionamos el certificado que acabamos de añadir y lo editamos:

• Seleccionamos los servicios que queremos utilizar y guardamos los cambios:

• Nos muestra el siguiente mensaje de advertencia, dónde le indicamos que sobrescriba:

• Como podemos ver, ya tenemos el certificado completamente válido y con sus servicios asociados:

• Como hemos eliminado el certificado autofirmado (selg signed) que Exchange instala por defecto, llamado Microsoft Exchange, al acceder a la consola de configuración ecp o al acceder al OWA nos va a mostrar la página en blanco, ya que en el Administrador de IIS en Sitios > Exchange Back End >Modificar sitio > Enlaces la conexión por https al puerto 444 no va a tener asignada ningún certificado, para añadir el nuevo certificado creado a esta conexión y poder acceder a la consola ecp, OWA y que los clientes Outlook puedan conectar hacemos lo siguiente:

• Tras realizar estas configuraciones, ya tenemos acceso a la consola ecp, OWA, etc…
• Como podemos ver, el acceso a través del OWA con la URL https://webmail.ragasys.net (accesos externos) nos indica que tenemos un certificado de confianza y que la conexión al servidor está cifrada:

• Como podemos ver, el acceso a través del OWA con la URL https://mail01.ragasys.net (accesos internos) nos indica que tenemos un certificado de confianza y que la conexión al servidor está cifrada:

• La Fuente para realizar este post ha sido Aprendiendo Exchange.com – Daniel Nuñez Banega, darle las gracias por su magnífico trabajo con servidores Microsoft Exchange.

Saludos y espero que os resulte de ayuda

La entrada Certificados en MS Exchange 2013 se publicó primero en RAGASYS SISTEMAS.

En este post vamos a ver como instalar y configurar una entidad emisora de certificados en MS Windows Server 2012 R2, esto nos va a permitir generar a nosotros mismos nuestros propios certificados, dándole seguridad a nuestras comunicaciones.

• Empezamos la configuración de nuestro servidor Active Directory Certificate Services (ADCS) asignándole un nombre y una dirección IP estática y como DNS le asignamos la dirección IP de nuestro controlador de dominio, ya que es éste servidor el que tiene el rol de DNS, también debemos unir este equipo a nuestro dominio:

• Para empezar a instalar ADCS abrimos elAdministrador del servidor y nos vamos a Administrar>Agregar  roles y características:

• Se nos abre este asistente, clic en siguiente para continuar:

• Elegimos la opción instalación basada en características o roles:

• Seleccionamos el servidor y clic sobre siguiente:

• Ahora agregamos el rol de “Servicios de certificados de Active Directory”:

• Se nos abre el siguiente asistente para agregar las características necesarias para este rol:

• Clic en siguiente para continuar:

• Todas las características que requiere nuestro servidor de certificados se seleccionan por defecto por lo que hacemos clic en siguiente:

• Nos muestra información sobre los servicios de certificados de Active Directory, clic en “siguiente”:

• En los servicios de rol seleccionamos “Inscripción web de entidad de certificación”, el servicio “Entidad de certificación” ya está seleccionado por defecto, clic en “siguiente”:

• Se nos abre el siguiente asistente para agregar las características necesarias para este servicio de rol:

• Clic en siguiente para continuar:

• Nos muestra información sobre el rol de IIS (Internet Information Services), clic en siguiente para continuar:

• Lo dejamos todo por defecto, clic en “siguiente”:

• Nos muestra un resumen de todo lo seleccionado, marcamos el check para que reinicie el servidor cuando instale los roles que hemos seleccionado, clic sobre “Instalar”:

• Comienza con la instalación de toda la configuración elegida en los asistentes:

• Como podemos ver la instalación ha finalizado correctamente, clic sobre “cerrar”:

• Ahora para configurar los Servicios de certificado de Active Directory, sobre el Administrador del servidor, en los warning, hacemos clic en “Configurar Servicios de certificado de Active Directory”:

• Se nos abre el siguiente asistente, dónde introducimos las credenciales del administrador del dominio:

• Seleccionamos “Entidad de certificación” e “Inscripción web de entidad de certificación”:

• El tipo de instalación elegida será Entidad de certificación empresarial, ya que vamos a trabajar sobre nuestro dominio:

• El tipo de CA será root:

• Seleccionamos la opción “Crear una clave privada nueva”:

• Seleccionamos los parámetros por defecto:

• Lo dejamos tal cuál está:

• En el período de validez, elegimos por ejemplo 20 años:

• Las ubicaciones de las bases de datos las dejamos por defecto:

• Nos muestra un resumen de todo lo configurado en el asistente, clic a “Configurar”:

• Como podemos ver todo ha finalizado correctamente, clic en “Cerrar”:

• Si todo está funcionando correctamente nos podremos conectar a nuestra entidad de certificación en la URL http://localhost/certsrv, dónde cargará la página principal:

• Ahora vamos a ejecutar el Administrador de Internet Information Services (IIS) y comprobamos que las conexiones por HTTPS no están habilitadas:

• Para habilitar las conexiones por HTTPS vamos a seguir estos pasos, en primer lugar nos abrimos una consola de Windows PowerShell y ejecutamos el comando, certtmpl.msc:

• Se nos abre la siguiente consola y sobre el panel de detalles seleccionamos “Servidor Web”, luego hacemos clic sobre “Plantilla duplicada”:

• Sobre la pestaña “Compatibilidad” lo dejamos por defecto:

• Sobre la pestaña “General” le damos un nombre a la plantilla y el período de validez le damos 5 años:

• Sobre la pestaña “Seguridad” agregamos la cuenta del servidor que tiene el rol de Entidad de certificación:

• En Tipos de objeto seleccionamos Equipos:

• Agregamos nuestro servidor de Entidad de certificación:

• Le asignamos los permisos necesarios:

• Sobre la pestaña “Nombre del sujeto” configuramos estas opciones:

• Sobre la pestaña “Criptografía” el tamaño mínimo de clave debe estar en el valor 2048, aplicamos y aceptamos:

• Cerramos la consola de Plantillas de certificado y abrimos la consola de Entidad de certificación en las Herramientas administrativas:

• Sobre la consola de Entidad de certificación hacemos un clic derecho de ratón sobre “Plantillas de certificado”, seleccionamos Nuevo>Plantilla de certificado que se va a emitir:

• Seleccionamos la nueva plantilla de certificado que configuramos anteriormente y clic en “Aceptar”:

• Nos abrimos una consola de Windows PowerShell y escribimos el comando mmc, en la nueva consola que se nos abre damos clic sobre Archivo y Agregar o quitar complemento:

• Seleccionamos certificados y agregamos:

• Se nos abre este asistente dónde vamos configurando las siguientes opciones:

• Aceptamos la configuración:

• Sobre la nueva consola que acabamos de configurar solicitamos un nuevo certificado:

• Se nos vuelve a abrir un nuevo asistente, dónde vamos configurando lo siguiente:

• Como podemos ver se ha inscrito correctamente, clic en “Finalizar”:

• Ahora nos abrimos el Administrador de IIS, y sobre Default web Site hacemos clic en Modificar sitio > Enlaces:

• Añadimos las conexiones HTTPS a través del puerto 443:

• Como podemos ver ya tenemos la nueva conexión por HTTPS agregada:

• Ya podemos acceder a nuestra entidad de certificación a través de HTTPS:

Saludos y espero que os resulte de ayuda

La entrada Instalación y configuración de entidad emisora de certificados en MS Windows Server 2012 R2 se publicó primero en RAGASYS SISTEMAS.