Certificados de sitios globales
Un certificado de sitio global es un certificado de servidor de uso especial cuya longitud de clave es superior a 128 bits. Un certificado de sitio global consiste en un certificado de servidor y un certificado de CA intermedia adjunto. Importe el certificado de sitio global y su clave del servidor al dispositivo NetScaler.
Cómo funcionan los certificados de sitios globales
Las versiones de exportación de los navegadores utilizan un cifrado de 40 bits para iniciar las conexiones a los servidores web SSL. El servidor responde a las solicitudes de conexión enviando su certificado. A continuación, el cliente y el servidor deciden la intensidad del cifrado en función del tipo de certificado del servidor:
- Si el certificado del servidor es un certificado normal y no un certificado de sitio global, el cliente y el servidor de exportación completan el protocolo de enlace SSL y utilizan un cifrado de 40 bits para la transferencia de datos.
- Si el certificado del servidor es un certificado de sitio global y si el navegador admite la función de cliente de exportación, el cliente de exportación se actualiza automáticamente al cifrado de 128 bits para la transferencia de datos.
Si el certificado del servidor es un certificado de sitio global, el servidor envía su certificado junto con el certificado de CA intermedia adjunto. El navegador primero valida el certificado de CA intermedia mediante uno de los certificados de CA raíz que normalmente se incluyen en los navegadores web. Tras la validación correcta del certificado de CA intermedia, el navegador utiliza el certificado de CA intermedia para validar el certificado del servidor. Una vez que el servidor se haya validado correctamente, el navegador renegocia (actualiza) la conexión SSL a un cifrado de 128 bits.
Con la criptografía cerrada por servidor (SGC) de Microsoft, si el servidor IIS de Microsoft está configurado con un certificado SGC, los clientes de exportación que reciben el certificado se renegocian para utilizar un cifrado de 128 bits.
Importar un certificado de sitio global
Para importar un certificado de sitio global, primero exporte el certificado y la clave del servidor web. Los certificados de sitios globales se exportan en algún formato binario. Por lo tanto, antes de importar el certificado de sitio global, convierta el certificado y la clave al formato PEM.
Para importar un certificado de sitio global
-
Con un editor de texto, copie el certificado del servidor y el certificado de CA intermedia adjunto en dos archivos separados.
El certificado codificado PEM individual comienza con el encabezado
----- BEGIN CERTIFICATE-----y termina con el tráiler.-----END CERTIFICATE----- -
Utilice un cliente SFTP para transferir el certificado de servidor, el certificado de CA intermedia y la clave del servidor al dispositivo NetScaler.
-
Utilice el siguiente comando de OpenSSL para identificar el certificado del servidor y el certificado de CA intermedia de los dos archivos independientes.
Nota: Puede iniciar la interfaz OpenSSL desde la utilidad de configuración. En el panel de navegación, haga clic en SSL. En el panel de detalles, en Herramientas, haga clic en Abrir interfaz SSL.
openssl x509 -in >path of the CA cert file< text X509v3 Basic Constraints: CA:TRUE X509v3 Key Usage: Certificate Sign, CRL Sign Netscape Cert Type: SSL CA, S/MIME CA openssl x509 -in >path of the server certificate file< -text X509v3 Basic Constraints: CA:FALSE Netscape Cert Type: SSL Server <!--NeedCopy--> -
En la línea de comandos de FreeBSD, introduzca el siguiente comando:
openssl x509 -in cert.pem -text | more <!--NeedCopy-->Donde cert.pem es uno de los dos archivos de certificado
Lea el campo Asunto en la salida del comando. Por ejemplo:
Subject: C=US, ST=Oregon, L=Portland, O=mycompany, Inc., OU=IT, CN=www.mycompany.com <!--NeedCopy-->Si el campo CN del Asunto coincide con el nombre de dominio de su sitio web, este certificado es el certificado del servidor y el otro certificado es el certificado de CA intermedia que lo acompaña.
-
Utilice el certificado de servidor y su clave privada) para crear un par de claves de certificado en el dispositivo NetScaler. Para obtener más información sobre cómo crear un par de claves de certificado en NetScaler, consulte Agregar un par de claves de certificado.
-
Agregue el certificado Intermediate-CA en el dispositivo NetScaler. Utilice el certificado de servidor que creó en el paso 4 para firmar este certificado intermedio. Para obtener información detallada sobre la creación de un certificado de CA intermedio en NetScaler, consulte Generar un certificado de prueba.