Hola a tod@s.
En este post vamos a ver como generar un certificado para SSL/SSH Inspection en un firewall Fortigate y firmarlo con nuestra entidad certificadora CA de Active Dircetory.
- Accedemos a nuestro servidor CA de Active Directory y ejecutamos certsrv.msc para crear una nueva plantilla de Entidad de certificación subordinada, ragasys-ADCS-CA > Plantillas de certificado > Administrar:
- Sobre Entidad de certificación subordinada damos a Plantilla duplicada:
- Sobre General, le indicamos un nombre y el periodo de validez, Aceptar:
- Como vemos, aquí la tenemos creada:
- Volvemos a la consola certsrv.msc y sobre Plantillas de certificado > Nuevo > Plantilla de certificado que se va a emitir:
- Seleccionamos la plantilla que habíamos creado y Aceptar:
- Como podemos ver, ya tenemos la plantilla operativa:
- Ahora vamos a generar el CSR desde nuestro Fortigate, System > Certificates > Generate:
- Le indicamos los datos necesarios y damos a OK:
- Como vemos, se nos queda la solicitud pendiente, damos a Descargar:
- Aquí tenemos el CSR descargado:
- Sobre nuestra CA solicitamos un certificado, solicitud avanzada de certificado:
- Copiamos el contenido del CSR, seleccionamos la plantilla que creamos anteriormente y damos a Enviar:
- Descargamos el certificado y la cadena de certificado (aunque la cadena no nos hará falta), codificado en Base64:
- Nos descargamos también el certificado de la CA en Base 64:
- Ahora sobre nuestro Fortigate, vamos a System > Certificates seleccionamos la solicitud pendiente y seleccionamos Import > Local Certificate:
- Subimos el certificado firmado por nuestra CA de Active Directory:
- Como podemos ver, aquí tenemos el certificado operativo firmado por nuestra CA y listo para usar con los perfiles de SSL/SSH Inspection:
- También debemos importar el certificado de nuestra CA de Active Directory, que nos descargamos anteriormente:
- Como podemos ver, aquí tenemos el certificado de nuestra CA de Active Directory:
- Ahora si accedemos a Security Profiles > SSL/SSH Inspection y seleccionamos cualquiera de nuestros perfiles para editar, vemos que ya podemos utilizar el certificado firmado por nuestra propia CA:
Saludos y espero que os resulte de ayuda 😉