En este post vamos a ver cómo preparar un certificado SSL Wildcard para después desplegarlo sobre un servidor Apache Linux haciendo las funciones de FrontalWeb.

Los certificados SSL Wildcard protegen la dirección URL de tu sitio web, así como también un número ilimitado de sus subdominios. Por ejemplo, un certificado Wildcard individual puede proteger www.ragasys.com, blog.ragasys.com y tienda.ragasys.com

Estos certificados protegen el nombre común y todos los subdominios con el nivel que desees especificar cuando envíes tu solicitud. Simplemente agrega un asterisco (*) en el área del subdominio a la izquierda del nombre común.

Fuente: https://es.godaddy.com/help/que-es-un-certificado-ssl-wildcard-567

• Para preparar nuestro certificado SSL Wildcard, tenemos montada en nuestra infraestructura una entidad emisora de certificados, en este link de este mismo blog podemos ver como montarlo.
• Lo primero que vamos a realizar será crear una petición de firma de certificado, para ello accedemos al IIS (Internet Information Services) de nuestra entidad emisora de certificados, nos situamos sobre el servidor ADCS > Certificados del servidor:

• Sobre Certificados de servidor, damos clic sobre Crear una solicitud de certificado:

• En las Propiedades de nombre distintivo, Introducimos los datos para la información requerida para el certificado que queremos generar, en nombre común utilizamos el * para que sea válido con cualquier subdomino de nuestra infraestructura:

• En las Propiedades de proveedor de servicios criptográficos, utilizamos RSA con 2048 bits:

• Sobre Nombre de archivo, le indicamos la ruta y el nombre, clic sobre Finalizar:

• Como podemos ver aquí tenemos la solicitud de certificado creada:

• Una vez que tenemos la solicitud de certificado creada, accedemos a nuestra CA https://adcs.ragasys.net/certsrv/ y solicitamos un certificado:

• Solicitamos una solicitud avanzada de certificado:

• Copiamos el contenido del fichero .txt que nos generó la solicitud de certificado, como plantilla seleccionamos Servidor web, y damos clic a Enviar:

• Ahora seleccionamos la opción Codificado en DER y nos descargamos el certificado y la cadena de certificado:

• Ahora nos vamos a descargar el certificado que utiliza nuestra CA, para ello volvemos al inicio de la web de CA, y clicamos sobre Descargar un certificado de CA:

• Seleccionamos DER y clic sobre Descargar certificado CA:

• Como vemos aquí lo tenemos descargado:

• Ahora vamos a completar la solicitud de certificado que hemos generado, para ello, desde nuestro IIS sobre Certificados de servidor, clicamos sobre Completar solicitud de certificado:

• Seleccionamos el certificado que nos hemos creado, le damos un nombre y seleccionamos el almacén, clc sobre Aceptar:

• Como podemos ver ya lo tenemos disponible en la lista de certificados de nuestro IIS:

• Si nos abrimos una consola mmc podemos ver el certificado que nos hemos creado:

• Para terminar, vamos a preparar el certificado SSL Wildcard para exportarlo como PFX, para ello, desde nuestro IIS, seleccionamos el certificado, y damos clic sobre Exportar:

• La asignamos un nombre y contraseña al certificado:

• Como podemos ver aquí lo tenemos exportado como fichero PFX:

• Con todo esto que hemos realizado, ya tendríamos preparado el certificado SSL wildcard para desplegarlo sobre nuestro FrontalWeb con Apache Linux, pero esto será en otro post.

Saludos y espero que os sea de ayuida

La entrada Generar certificados SSL Wildcard en IIS para desplegarlos sobre nuestros Servidores se publicó primero en RAGASYS SISTEMAS.

En este post vamos a ver como instalar y configurar una entidad emisora de certificados en MS Windows Server 2012 R2, esto nos va a permitir generar a nosotros mismos nuestros propios certificados, dándole seguridad a nuestras comunicaciones.

• Empezamos la configuración de nuestro servidor Active Directory Certificate Services (ADCS) asignándole un nombre y una dirección IP estática y como DNS le asignamos la dirección IP de nuestro controlador de dominio, ya que es éste servidor el que tiene el rol de DNS, también debemos unir este equipo a nuestro dominio:

• Para empezar a instalar ADCS abrimos elAdministrador del servidor y nos vamos a Administrar>Agregar  roles y características:

• Se nos abre este asistente, clic en siguiente para continuar:

• Elegimos la opción instalación basada en características o roles:

• Seleccionamos el servidor y clic sobre siguiente:

• Ahora agregamos el rol de “Servicios de certificados de Active Directory”:

• Se nos abre el siguiente asistente para agregar las características necesarias para este rol:

• Clic en siguiente para continuar:

• Todas las características que requiere nuestro servidor de certificados se seleccionan por defecto por lo que hacemos clic en siguiente:

• Nos muestra información sobre los servicios de certificados de Active Directory, clic en “siguiente”:

• En los servicios de rol seleccionamos “Inscripción web de entidad de certificación”, el servicio “Entidad de certificación” ya está seleccionado por defecto, clic en “siguiente”:

• Se nos abre el siguiente asistente para agregar las características necesarias para este servicio de rol:

• Clic en siguiente para continuar:

• Nos muestra información sobre el rol de IIS (Internet Information Services), clic en siguiente para continuar:

• Lo dejamos todo por defecto, clic en “siguiente”:

• Nos muestra un resumen de todo lo seleccionado, marcamos el check para que reinicie el servidor cuando instale los roles que hemos seleccionado, clic sobre “Instalar”:

• Comienza con la instalación de toda la configuración elegida en los asistentes:

• Como podemos ver la instalación ha finalizado correctamente, clic sobre “cerrar”:

• Ahora para configurar los Servicios de certificado de Active Directory, sobre el Administrador del servidor, en los warning, hacemos clic en “Configurar Servicios de certificado de Active Directory”:

• Se nos abre el siguiente asistente, dónde introducimos las credenciales del administrador del dominio:

• Seleccionamos “Entidad de certificación” e “Inscripción web de entidad de certificación”:

• El tipo de instalación elegida será Entidad de certificación empresarial, ya que vamos a trabajar sobre nuestro dominio:

• El tipo de CA será root:

• Seleccionamos la opción “Crear una clave privada nueva”:

• Seleccionamos los parámetros por defecto:

• Lo dejamos tal cuál está:

• En el período de validez, elegimos por ejemplo 20 años:

• Las ubicaciones de las bases de datos las dejamos por defecto:

• Nos muestra un resumen de todo lo configurado en el asistente, clic a “Configurar”:

• Como podemos ver todo ha finalizado correctamente, clic en “Cerrar”:

• Si todo está funcionando correctamente nos podremos conectar a nuestra entidad de certificación en la URL http://localhost/certsrv, dónde cargará la página principal:

• Ahora vamos a ejecutar el Administrador de Internet Information Services (IIS) y comprobamos que las conexiones por HTTPS no están habilitadas:

• Para habilitar las conexiones por HTTPS vamos a seguir estos pasos, en primer lugar nos abrimos una consola de Windows PowerShell y ejecutamos el comando, certtmpl.msc:

• Se nos abre la siguiente consola y sobre el panel de detalles seleccionamos “Servidor Web”, luego hacemos clic sobre “Plantilla duplicada”:

• Sobre la pestaña “Compatibilidad” lo dejamos por defecto:

• Sobre la pestaña “General” le damos un nombre a la plantilla y el período de validez le damos 5 años:

• Sobre la pestaña “Seguridad” agregamos la cuenta del servidor que tiene el rol de Entidad de certificación:

• En Tipos de objeto seleccionamos Equipos:

• Agregamos nuestro servidor de Entidad de certificación:

• Le asignamos los permisos necesarios:

• Sobre la pestaña “Nombre del sujeto” configuramos estas opciones:

• Sobre la pestaña “Criptografía” el tamaño mínimo de clave debe estar en el valor 2048, aplicamos y aceptamos:

• Cerramos la consola de Plantillas de certificado y abrimos la consola de Entidad de certificación en las Herramientas administrativas:

• Sobre la consola de Entidad de certificación hacemos un clic derecho de ratón sobre “Plantillas de certificado”, seleccionamos Nuevo>Plantilla de certificado que se va a emitir:

• Seleccionamos la nueva plantilla de certificado que configuramos anteriormente y clic en “Aceptar”:

• Nos abrimos una consola de Windows PowerShell y escribimos el comando mmc, en la nueva consola que se nos abre damos clic sobre Archivo y Agregar o quitar complemento:

• Seleccionamos certificados y agregamos:

• Se nos abre este asistente dónde vamos configurando las siguientes opciones:

• Aceptamos la configuración:

• Sobre la nueva consola que acabamos de configurar solicitamos un nuevo certificado:

• Se nos vuelve a abrir un nuevo asistente, dónde vamos configurando lo siguiente:

• Como podemos ver se ha inscrito correctamente, clic en “Finalizar”:

• Ahora nos abrimos el Administrador de IIS, y sobre Default web Site hacemos clic en Modificar sitio > Enlaces:

• Añadimos las conexiones HTTPS a través del puerto 443:

• Como podemos ver ya tenemos la nueva conexión por HTTPS agregada:

• Ya podemos acceder a nuestra entidad de certificación a través de HTTPS:

Saludos y espero que os resulte de ayuda

La entrada Instalación y configuración de entidad emisora de certificados en MS Windows Server 2012 R2 se publicó primero en RAGASYS SISTEMAS.