Certificats de site globaux
Un certificat de site global est un certificat de serveur à usage spécial dont la longueur de clé est supérieure à 128 bits. Un certificat de site global se compose d’un certificat de serveur et d’un certificat CA intermédiaire. Importez le certificat de site global et sa clé du serveur vers l’appliance Citrix ADC.
Fonctionnement des certificats de site globaux
Les versions d’exportation des navigateurs utilisent le chiffrement 40 bits pour initier des connexions aux serveurs Web SSL. Le serveur répond aux demandes de connexion en envoyant son certificat. Le client et le serveur décident ensuite d’une force de chiffrement basée sur le type de certificat serveur :
- Si le certificat de serveur est un certificat normal et non un certificat de site global, le client et le serveur d’exportation terminent la connexion SSL et utilisent le chiffrement 40 bits pour le transfert de données.
- Si le certificat de serveur est un certificat de site global et si le navigateur prend en charge la fonctionnalité client d’exportation, le client d’exportation met automatiquement à niveau le chiffrement 128 bits pour le transfert de données.
Si le certificat de serveur est un certificat de site global, le serveur envoie son certificat, accompagné du certificat CA intermédiaire qui l’accompagne. Le navigateur valide d’abord le certificat CA intermédiaire en utilisant l’un des certificats CA racine qui sont normalement inclus dans les navigateurs Web. Une fois le certificat intermédiaire validé, le navigateur utilise le certificat intermédiaire CA pour valider le certificat serveur. Une fois le serveur validé, le navigateur renégocie (met à niveau) la connexion SSL au chiffrement 128 bits.
Avec Server Gated Cryptography (SGC) de Microsoft, si le serveur Microsoft IIS est configuré avec un certificat SGC, exportez les clients qui reçoivent le certificat renégocient pour utiliser le chiffrement 128 bits.
Importer un certificat de site global
Pour importer un certificat de site global, exportez d’abord le certificat et la clé de serveur à partir du serveur Web. Les certificats de site globaux sont exportés dans un format binaire. Par conséquent, avant d’importer le certificat de site global, convertissez le certificat et la clé au format PEM.
Pour importer un certificat de site global
-
À l’aide d’un éditeur de texte, copiez le certificat serveur et le certificat CA intermédiaire dans deux fichiers distincts.
Le certificat codé PEM individuel commence par l’en-tête
----- BEGIN CERTIFICATE-----et se termine par la remorque-----END CERTIFICATE-----. -
Utilisez un client SFTP pour transférer le certificat de serveur, le certificat CA intermédiaire et la clé de serveur vers l’appliance Citrix ADC.
-
Utilisez la commande OpenSSL suivante pour identifier le certificat serveur et le certificat CA intermédiaire à partir des deux fichiers distincts.
Remarque : Vous pouvez lancer l’interface OpenSSL à partir de l’utilitaire de configuration. Dans le volet de navigation, cliquez sur SSL. Dans le volet d’informations, sous Outils, cliquez sur Ouvrir l’interface SSL.
openssl x509 -in >path of the CA cert file< text X509v3 Basic Constraints: CA:TRUE X509v3 Key Usage: Certificate Sign, CRL Sign Netscape Cert Type: SSL CA, S/MIME CA openssl x509 -in >path of the server certificate file< -text X509v3 Basic Constraints: CA:FALSE Netscape Cert Type: SSL Server <!--NeedCopy--> -
À l’invite du shell FreeBSD, entrez la commande suivante :
openssl x509 -in cert.pem -text | more <!--NeedCopy-->Où cert.pem est l’un des deux fichiers de certificat
Lisez le champ Objet dans la sortie de la commande. Par exemple,
Subject: C=US, ST=Oregon, L=Portland, O=mycompany, Inc., OU=IT, CN=www.mycompany.com <!--NeedCopy-->Si le champ CN de l’objet correspond au nom de domaine de votre site Web, ce certificat est le certificat du serveur et l’autre certificat est le certificat de l’autorité de certification intermédiaire qui l’accompagne.
-
Utilisez le certificat du serveur et sa clé privée) pour créer une paire de clés de certificat sur l’appliance Citrix ADC. Pour plus d’informations sur la création d’une paire de clés de certificat sur Citrix ADC, voir Ajouter une paire de clés de certificat.
-
Ajoutez le certificat CA intermédiaire sur l’appliance Citrix ADC. Utilisez le certificat de serveur que vous avez créé à l’étape 4 pour signer ce certificat intermédiaire. Pour plus d’informations sur la création d’un certificat CA intermédiaire sur Citrix ADC, voir Générer un certificat de test.