Сертификаты в Kerio Control

Добрый день, товарищи)))

Вопрос - как правильно сгенерировать сертификаты в Керио, хотелось бы, чтоб веб-браузеры не ругались на них, ну и клиенты впн керивы старых версий тоже ругаются, мол не могу прочитать дату окончания действия..сегодня поставил свежий клиент от 9-й версии - вроде он прожевал мой "самопал" не глядя...
Делал вот этой инструкции [Для просмотра данной ссылки нужно зарегистрироваться]
Прямо по циферкам в той же последовательность...
Можно конечно забить и добавить все в исключения, но хотелось разобраться до конца как бы)))
Сильно не ругайте - не ошибается тот, кто ни чего не делает...
Версия керива 9.1.4 на железном исполнении)))

как правильно - да по инструкции
генеришь свежий Local Authority с максимальным сроком службы, от его имени генеришь новые для впн и веб-инторфейса, обращаешь внимание на имена хостов по которым доступен вебинтерфейс, эти имена (и ИП-адреса если надо) указываешь в сертификате в соответствующем поле

далее экспортируешь корневой (Local Authority) и распространяешь его по компам, помещая в доверенные корневые

ну и в общем то всё

Вот спасибо)))
Я таки про доп.поля то и не подумал...и про то что нужно все возможные варианты имени и ип хоста с керивой туда вписать...затупил и название конторы своей только записал...

ну так пегеренерируй
делов то

Сделал ужо, шлюз стоит в тестировании пока, точнее в переносе юзеров, правил и прочего с версии 7.4.2, решил там как раз порядок навести...

Последнее, правда не совсем в тему - в этих новых версия редирект на страну авторизации незарегистрированных юзеров работает "из коробки" или по старинке делать? (два правила в трафик-полиси + два правила в хттп) - помнится. как раз тута решение это и подсмотрел))))

Цитата:

Сообщение от naliman

как правильно - да по инструкции
генеришь свежий Local Authority с максимальным сроком службы, от его имени генеришь новые для впн и веб-инторфейса, обращаешь внимание на имена хостов по которым доступен вебинтерфейс, эти имена (и ИП-адреса если надо) указываешь в сертификате в соответствующем поле

далее экспортируешь корневой (Local Authority) и распространяешь его по компам, помещая в доверенные корневые

ну и в общем то всё

У меня браузеры [Для просмотра данной ссылки нужно зарегистрироваться] на то что сертификат не могу проверять.
И https в адресной строке хрома [Для просмотра данной ссылки нужно зарегистрироваться].

[Для просмотра данной ссылки нужно зарегистрироваться] на 10 лет
[Для просмотра данной ссылки нужно зарегистрироваться] на 10 лет
[Для просмотра данной ссылки нужно зарегистрироваться] - ругается (((

В доп.оциях указал второй серт.
Не пробовал еще только перегрузить Керио, т.к. народ работает. Может перезагрузка поможет?
9.1.2

kerusr, вот это вот сделано??

Цитата:

Сообщение от naliman

экспортируешь корневой (Local Authority) и распространяешь его по компам, помещая в доверенные корневые (центры сертификации)

Цитата

Сообщение от kerusr

Добавил в хранилище. - ругается (((

Естественно, ибо ты сам его впервые добавляешь, а система не знает о существовании Kerio Local Center of Authority. Иначе - зачем его добавлять??

Уважаемый, ты меня поражаешь. Ты опять читать не умеешь, или теперь это нам всем в обязанности вменено?

Так я и добавил на комп, не на комп с керио 27.2, в хранилище.
Ок. При повторном добавлении серта в хранилище- нет этой таблички. Все ок проходит. Но браузеры так же ругаются на этот серт при заходе с компа на котором и добавлял экспортированный сертификат в хранилище сертификатов и https перечеркнуто в хроме. (

Я также проделал выше указанную процедуру - экспорт - добавление в доверенные корневые центры....браузер также ругался, опять добавил в исключение...ругался что сертификат самоподписной...по моему так было...

kerusr,
ua4frr, Бля, парни, когда-же вы читать научитесь? Вот
kerusr, какого хуя ты выдаешь корневой сертификат на хост с именем равным его IP номеру?? Ты различаешь понятия "имя" и "адрес"?

ua4frr,

Цитата:

Сообщение от ua4frr

добавил в исключение

Добавлять нужно не в исключения, а в корневые ЦС.

Вам всем налиман во втором посте этой темы очень четко описал как нужно это все сделать. Опять тупо прочесть не можем?

Бля, ну вот почему у меня все работает??

"обращаешь внимание на имена хостов по которым доступен вебинтерфейс, эти имена (и ИП-адреса если надо) указываешь в сертификате в соответствующем поле"

"Бля, ну вот почему у меня все работает??"

Все дело может быть в том что у Вас есть внешний ip и привязанный к нему домен - которые вы указывали при генерации сертификата.
Я же пытаюсь просто сгенерить серт для локального ip. Может в этом дело?

Взял системнки чистый. Вставил 2 сетевые. В одну воткнул провод WAN, в другую- LAN. С диска установил керио.
Захожу в админку как: [Для просмотра данной ссылки нужно зарегистрироваться]
Вот на этот адрес и создаю серт. Где моя ошибка?

kerusr, представляешь, это скрин с моего домашнего почтового сервера. Да. Есть внешний домен. Но! Есть и внутренний - home.local так как-же и внутри сети есть служба DNS (для ее организации нет необходимости установки доменной структуры AD) как одна из ролей одного из серверов, настроенная по прямой и обратной зоне как это положено в IP сетях и разрешающая имена не только в локальной доменной зоне, но так-же и в глоюбальной сети. Так вот, чтобы не заморачиваться с разными именами (terminal.*****.ru и terminal.home.local) почтовой системы, а так-же невозможности организации двух имен одной почтовой системы в принципе, а так-же невозможности использований разных сертификатов, на этом самом DNS поднята еще и локальная зона *****.ru в которой IP номера разрешаются по тем-же самым именам что и в "боевой зоне" домена ******.ru но, по локальной IP нумерации. На эти имена и выписаны самоподписанные сертификаты, которые и добавлены на клиентах в корневые ЦС на клиентах.

Цитата

Сообщение от kerusr

на этот адрес и создаю серт

сертификат создается не на адрес, а на домен, либо конкретное имя машины, а не

Цитата

Сообщение от kerusr

на этот адрес

вот тут и есть

Цитата

Сообщение от kerusr

ошибка

kerusr, почитай, вообще, [Для просмотра данной ссылки нужно зарегистрироваться], и самое главное - [Для просмотра данной ссылки нужно зарегистрироваться].

HOG,
Теперь всё ясно.
Либо внутри локалки свой DNS сервер организовывать, либо, что проще и быстрее, взять домен и привязать к нему WAN-IP который входит в керио-сервер.

Цитата

Сообщение от kerusr

внутри локалки свой DNS сервер организовывать

10 минут работы вместе с регистрацией всех внутренних адресов на нем.

HOG,
Да, но не имею практического опыта по развертыванию и настройке локального DNS.
Сети всегда были простенькие. Использовались dns- провайдера.

Есть ли отличия между вариантами когда на керио-сервер(2 сетевые стоят: wan+lan) захожу в админку:
вариант1: по домену. внешний ip привязан к этому домену.
вариант2: по локальному домену. когда поднят локальный dns + создано для 192.168.0.2 локальное доменное имя ?
В обоих вариантах сервер-керио имеет WAN-ip. Только в первом случаем имеет еще и домен интернетовский. А во втором- домен локальный.

kerusr, Есть такая тема, что для того, чтобы можно было зайти в инет (WAN IP) то нужно авторизоваться. Далее продолжать??

Цитата:

Сообщение от HOG

Далее продолжать??

Желательно
Интересно послушать и обзавестись опытом)

kerusr, Для авторизации тебе придется зайти на страницу авторизации. А это старая песня про сертификат.....

Если нужен ДНС, то вапсчета, эта тема для другого форума. Например [Для просмотра данной ссылки нужно зарегистрироваться]. Здесь обсуждаются вопросы связанные с продуктами Kerio Tech, и не более того.

Цитата

Сообщение от kerusr

добавлял экспортированный сертификат в хранилище сертификатов и https перечеркнуто в хроме

вообще то в керио есть 2 (ДВА) сертификата, оба надо добавить в хранилище
один - сертификат сервера (в данном случае веб-сервера веб-админки)
второй - корневой, в кериве он именован как Local Authority

вангую: перывй ты установил а про второй и думать не думал, а может и не видел

naliman,
Я экспортирую и устанавливаю:

Цитата

2. жми "добавить" - "новый сертификат для локального центра". Напиши в имени хоста "Kerio Local Authority" чтобы не запутаться и срок 10 лет поставь. Страна Сомали. Это твой корневой сертификат.
3. жми "добавить" - "новый сертификат". имя хоста "192.168.0.1" на 10 лет. Это твой дочерний сертификат, которым будет представляться шлюз.