Aller au contenu

Obtenir un certificat

La passerelle ZTNA nécessite un certificat générique. Il existe différentes façons d’obtenir le certificat, comme suit :

Remarque

Vous devez connaître le domaine que vous utiliserez pour votre passerelle.

Générer un certificat Let’s Encrypt à partir de Sophos Central.

Vous pouvez générer un certificat Let’s Encrypt à partir de Sophos Central.

Remarque

Si vous utilisez des enregistrements d’autorisation d’autorité de certification (CAA) sur votre serveur DNS, vous devez ajouter un enregistrement CAA spécifique pour l’autorité de certification Let’s Encrypt. Cet enregistrement CAA autorisera Let’s Encrypt à émettre des certificats pour votre domaine.

Pour générer un certificat Let’s Encrypt, procédez comme suit :

  1. Dans Sophos Central, allez dans Mes produits > ZTNA et cliquez sur Paramètres.
  2. Cliquez sur Domaines et certificats.

  3. Cliquez sur Ajouter un domaine.

    Remarque

    Vous pouvez ajouter un maximum de 100 domaines.

  4. Saisissez votre nom de domaine au format suivant : example.com.

  5. Cliquez sur Ajouter.

    Nous générerons un enregistrement CNAME pour ce domaine, qui s’affichera à côté de votre nom de domaine sous Domaines et certificats.

  6. Sur votre serveur DNS, ajoutez l’enregistrement CNAME comme enregistrement DNS pour votre domaine.

    Vous devez revendiquer la propriété du domaine en entrant l’enregistrement CNAME généré en regard du domaine correspondant sur votre serveur DNS.

    Remarque

    Vous devez ajouter votre nom de domaine à l’enregistrement DNS au format suivant : _acme-challenge.<domain name>.

    Remarque

    Supposons que vous ayez déjà un enregistrement DNS pour _acme-challenge.<domain name> sur votre serveur DNS avec des enregistrements TXT configurés (cela peut être pour d’autres applications). Dans ce cas, vous devez supprimer ces entrées lorsque la génération du certificat Let’s Encrypt est en cours pour Sophos ZTNA.

  7. Dans Domaines et certificats, cliquez sur Valider.

  8. Confirmez que vous avez ajouté l’enregistrement CNAME à votre serveur DNS, puis cliquez sur Valider.

    Nous validons la propriété du domaine à l’aide de l’enregistrement CNAME saisi.

  9. Cliquez sur Générer un certificat LE.

  10. Lisez et acceptez le contrat d’abonnement Let’s Encrypt.

    Cela nous autorise à gérer vos certificats Let’s Encrypt.

  11. Cliquez sur Générer.

    La génération de certificat prend environ 60 secondes. Vous pouvez quitter la page pendant la génération.

    Cela ajoute votre domaine validé à votre certificat Let’s Encrypt. Le certificat est généré pour tous les domaines validés.

Remarque

Nous ne générons qu’un seul certificat Let’s Encrypt par compte. Tous les domaines validés font partie du certificat généré. Lorsque vous ajoutez un nouveau domaine, vous devez générer à nouveau le certificat Let’s Encrypt.

Nous gérons et renouvelons le certificat Let’s Encrypt en votre nom.

Vous pouvez associer le certificat Let’s Encrypt à une passerelle existante. Si vous n’avez pas encore ajouté de passerelle, vous pouvez le faire ultérieurement.

Associer le certificat Let’s Encrypt à votre passerelle

  1. Allez dans Mes produits > ZTNA et cliquez sur Passerelles.
  2. Cliquez sur le nom de votre passerelle.
  3. Sous Domaine et certificat, sélectionnez Automatique (Let’s Encrypt).
  4. Cliquez sur Enregistrer.

Les domaines existants ont été validés à l’aide d’enregistrements DNS TXT. Pour générer un certificat Let’s Encrypt pour ces domaines, vous devez d’abord ajouter les domaines à votre serveur DNS dans le nouveau format.

Procédez comme suit :

  1. Dans Sophos Central, allez dans Mes produits > ZTNA et cliquez sur Paramètres.
  2. Cliquez sur Domaines et certificats.
  3. Cliquez sur Générer un certificat LE.
  4. Sous Ajouter CNAME, copiez l’enregistrement CNAME.

  5. Sur votre serveur DNS, ajoutez l’enregistrement CNAME comme enregistrement DNS pour votre domaine.

    Remarque

    Vous devez ajouter votre nom de domaine à l’enregistrement DNS au format suivant : _acme-challenge.<domain name>.

    Remarque

    Supposons que vous ayez déjà un enregistrement DNS pour _acme-challenge.<domain name> sur votre serveur DNS avec des enregistrements TXT configurés (cela peut être pour d’autres applications). Dans ce cas, vous devez supprimer ces entrées lorsque la génération du certificat Let’s Encrypt est en cours pour Sophos ZTNA.

  6. Confirmez que vous avez ajouté l’enregistrement CNAME à votre serveur DNS.

  7. Lisez et acceptez le contrat d’abonnement Let’s Encrypt.

    Cela nous autorise à gérer vos certificats Let’s Encrypt.

  8. Cliquez sur Continuer.

  9. Confirmez que vous avez ajouté l’enregistrement CNAME à votre serveur DNS, lisez et acceptez le contrat d’abonnement Let’s Encrypt.

  10. Cliquez sur Générer.

    La génération de certificat prend environ 60 secondes. Vous pouvez quitter la page pendant la génération.

    Cela ajoute votre domaine validé à votre certificat Let’s Encrypt. Le certificat est généré pour tous les domaines validés.

    Les domaines existants et les enregistrements CNAME correspondants sont affichés dans le nouveau format dans le tableau de la page Domaines et certificats.

    Remarque

    Si vous avez des domaines existants qui n’ont pas été validés, vous devez les supprimer et les ajouter à nouveau, les valider et générer à nouveau le certificat Let’s Encrypt.

Nous gérons et renouvelons le certificat Let’s Encrypt en votre nom.

Vous pouvez associer le certificat Let’s Encrypt à une passerelle existante. Si vous n’avez pas encore ajouté de passerelle, vous pouvez le faire ultérieurement.

Associer le certificat LE à votre passerelle

  1. Allez dans Mes produits > ZTNA et cliquez sur Passerelles.
  2. Cliquez sur le nom de votre passerelle.
  3. Sous Domaine et certificat, sélectionnez Automatique (Let’s Encrypt).
  4. Cliquez sur Enregistrer.

Obtenir un certificat en utilisant SSL

Pour obtenir un certificat en utilisant OpenSSL avec l’autorité de certification (CA) de votre choix, procédez de la manière suivante :

  1. Accédez à un appareil avec une version en ligne de commande d’OpenSSL ou OpenSSL.

  2. Créez un modèle de demande de signature de certificats (CSR) sous format de fichier texte.

    Vous utiliserez ce modèle pour générer la CSR et la clé privée.

    Exemple 
    [req]
default_bits=4096
prompt=no
default_md=sha512
req_extensions=req_ext
distinguished_name=dn

[dn]
C=UK
ST=Oxfordshire
L=Oxford
O=ExampleCo
OU=Example
emailAddress=admin@example.com
CN=ztna.example.com

[req_ext]
subjectAltName=@alt_names

[alt_names]
DNS.1=*.example.com

  3. Exécutez la commande ci-dessous. Dans cet exemple, ztna.key est le nom de la clé et ztna.csr le nom du CSR. mytemplate.txt est le nom du modèle CSR.

    Exemple 
    openssl req -newkey rsa:4096 -sha512 -nodes -keyout ztna.key -new -out ztna.csr
-config mytemplate.txt

  4. Faites signer votre ztna.csr par l’autorité de certification de votre choix et téléchargez une version Base64 chiffrée du certificat signé à partir de celle-ci.

    Les étapes à suivre dépendent de votre autorité de certification. Recherchez les instructions pertinentes en ligne.

  5. Placez votre nouvelle ztna.key et le certificat signé dans un endroit auquel vous pouvez accéder lorsque vous configurez votre passerelle dans Sophos Central.

Vous pouvez associer le certificat à une passerelle existante. Si vous n’avez pas encore ajouté de passerelle, vous pouvez le faire ultérieurement.

Associer le certificat à votre passerelle

  1. Allez dans Mes produits > ZTNA et cliquez sur Passerelles.
  2. Cliquez sur le nom de votre passerelle.
  3. Sous Domaine et certificat, sélectionnez Télécharger votre propre certificat, puis téléchargez le certificat que vous venez de créer.
  4. Cliquez sur Enregistrer.

Validité du certificat

Pour vous assurer que votre certificat continue de fonctionner, procédez comme suit :

  • Surveillez la validité de votre certificat pour vérifier s’il est configuré correctement et vérifiez la date d’expiration.
  • Lorsque votre certificat arrive à expiration, renouvelez-le.

Obtenir un certificat à l’aide de Let’s Encrypt

Pour obtenir un certificat à l’aide de Let's Encrypt et du client Certbot, procédez comme suit :

  1. Connectez-vous au fournisseur DNS qui héberge votre domaine de passerelle.

  2. Installez Certbot sur votre appareil.

    Remarque

    Certbot ne valide pas le serveur Web. Au lieu de cela, il valide la propriété du domaine avec une entrée DNS TXT.

  3. Saisissez les commandes suivantes pour obtenir un certificat et modifier le domaine sur lequel ZTNA est déployé.

    sudo certbot certonly \
--manual \
--preferred-challenges=dns \
--server https://acme-v02.api.letsencrypt.org/directory \
--agree-tos \
--domain *.domain.com

    Certbot renvoie l’enregistrement TXT dont vous avez besoin et se met en attente.

  4. Ajoutez l’enregistrement TXT au fournisseur DNS et attendez trois à cinq minutes.

  5. Retournez dans Certbot et appuyez sur Entrée pour valider la propriété de votre domaine.

Certbot génère un certificat et une clé à télécharger vers Sophos Central.

Associer le certificat à votre passerelle

  1. Allez dans Mes produits > ZTNA et cliquez sur Passerelles.
  2. Cliquez sur le nom de votre passerelle.
  3. Sous Domaine et certificat, sélectionnez Télécharger votre propre certificat, puis téléchargez le certificat que vous venez de créer.
  4. Cliquez sur Enregistrer.

Validité du certificat

Pour vous assurer que votre certificat continue de fonctionner, procédez comme suit :

  • Vérifiez la date de validité et d’expiration de votre certificat pour vous assurer qu’il est configuré correctement.
  • Lorsque votre certificat arrive à expiration, renouvelez-le.