[2000] Verlengd SSL certificaat is niet zichtbaar*

[Koffie]

Het is alweer een tijdje geleden dat ik met SSL bezig ben geweest, dus vandaar dat ik hier even de hulp inroep.

Ik heb een server met daarop Windows 2000 en IIS. Hier draait een HTTPS site op, met een geldig SSL certificaat.
Het certificaat verloopt a.s. zaterdag.
Ik heb een verlenging van het certificaat aangevraagd en ook gekregen. De response heb ik aan IIS gevoerd, en dit werd allemaal goedgekeurd.

Als ik in de IIS Manager de properties van SSL bekijk, zie ik daar het nieuwe certificaat.
Roep ik echter de website op (zelfs vanaf de webserver) krijg ik het oude certificaat te zien.
Ik dacht dat het met de datum te maken kon hebben, dus voor de zekerheid de datum even in de toekomst gezet. Dat resulteerde in een foutmelding dat alles aan het certificaat klopte, behalve dat hij niet meer geldig was.

IIS is op diverse manieren al gerestart/gereset en zelfs de server gereboot.

Iemand enig idee wat ik verkeerd doe of over het hoofd zie ?

[LuCarD]

Koffie schreef op donderdag 08 november 2007 @ 15:41:
Het is alweer een tijdje geleden dat ik met SSL bezig ben geweest, dus vandaar dat ik hier even de hulp inroep.

Ik heb een server met daarop Windows 2000 en IIS. Hier draait een HTTPS site op, met een geldig SSL certificaat.
Het certificaat verloopt a.s. zaterdag.
Ik heb een verlenging van het certificaat aangevraagd en ook gekregen. De response heb ik aan IIS gevoerd, en dit werd allemaal goedgekeurd.

Als ik in de IIS Manager de properties van SSL bekijk, zie ik daar het nieuwe certificaat.
Roep ik echter de website op (zelfs vanaf de webserver) krijg ik het oude certificaat te zien.
Ik dacht dat het met de datum te maken kon hebben, dus voor de zekerheid de datum even in de toekomst gezet. Dat resulteerde in een foutmelding dat alles aan het certificaat klopte, behalve dat hij niet meer geldig was.

IIS is op diverse manieren al gerestart/gereset en zelfs de server gereboot.

Iemand enig idee wat ik verkeerd doe of over het hoofd zie ?

Welke datum heb je vooruit gezet? Van de server? of van de client? of beide?

[Koffie]

Ik heb de server als client gebruikt
Dus de datum op de server vooruit, en dan op de server de pagina met IE oproepen.

Maar ook op een client krijg ik de foutmelding dat hij verlopen is (als ik de datum vooruit zet).

[Paul]

Ik weet niet of certificaten ook gecached worden, maar alle temporary internet files, proxies, transparant proxies etc al geleegd?

Default Web Site -> Directory Security -> View Certificate is gewoon goed, maar connecten naar het ip/poort dat op de tab website weergegeven wordt gaat fout? Dat is wel vreemd dan...

[Koffie]

Paul Nieuwkamp schreef op donderdag 08 november 2007 @ 16:17:
Ik weet niet of certificaten ook gecached worden, maar alle temporary internet files, proxies, transparant proxies etc al geleegd?

Elke PC die we testen heeft dit; lokale laptops, servers, PC's thuis.

Default Web Site -> Directory Security -> View Certificate is gewoon goed, maar connecten naar het ip/poort dat op de tab website weergegeven wordt gaat fout? Dat is wel vreemd dan...

Correct.
In IIS zelf zie je het juiste certificaat, terwijl op dezelfde server die site opvragen je het oude certificaat geeft.

[Koffie]

Even een schopje, want het is behoorlijk urgent

Wij kopen onze certifacten via Getronics PinkRocade bij Verisign. Het is een Premium SSL Certificate.
Dit certificaat is vorig jaar ook al vernieuwd (voor zover ik weet zonder problemen).
Het certificaat verloopt a.s. zaterdag, dus vandaar de haast

Ik heb in IIS op de bewuste website onder Properties -> Directory Security -> Server Certificate de wizzard doorlopen om het te vernieuwen (vernieuwen, niet een nieuwe).
Het Request bestand heb ik in de online wizzard van Getronics ingevoerd en vervolgens de rest doorlopen.
Later heb ik een mail gekregen met daarin de response tekst.
Deze netjes in een .CER bestand opgeslagen en weer in IIS de wizzward doorlopen.
Vervolgens het bestand aangewezen.
IIS vond het allemaal prima.
Als ik nu onder IIS bij de properties het certificaat opvraag, staat daar netjes dat hij geldig is vanaf vandaag 13.00
Roep ik vervolgens de website op (waar dan ook; dezelfde server, servers/clients in het LAN of clients vanaf internet) dan krijg ik bij het slotje het oude certificaat te zien.

In de eventviewer kan ik niets vinden, evenals in de logfiles van IIS.

Voor zover ik weet is alles volgens de juiste methode gedaan, en geen stap overgeslagen.

Het werkt inmiddels

De website/server waar het om gaat is onze Citrix Secure Gateway. Op deze server draait dus ook de Secure Gateway software.
Ik was mij er van bewust dat ook deze software het nieuwe certificaat moet 'krijgen' om te kunnen werken. Echter, komt (voor zover ik weet) pas om de hoek kijken als je met de Citrix client een verbinding maakt.
Ik was daar nog niet aan begonnen, omdat ik het eerst in IIS goed wilde hebben.

Enfin, het nieuwe certificaat ook aan CSG software toewijzen en de IIS website laat nu dus wel het juiste certificaat zien

[ Voor 18% gewijzigd door Koffie op 08-11-2007 20:56 ]

[elevator]

Als ik het goed heb hebben wij het certificaat in onze IIS niet eens geinstalleerd - de CSG SSL-proxied als het ware alles, misschien (mocht je een testomgeving hebben ) kan je dat eens proberen, dan heb je over 2 jaar als je het certificaat verlengt niet de mogelijkheid het verkeerd te doen

[BFS]

elevator schreef op vrijdag 09 november 2007 @ 10:36:
Als ik het goed heb hebben wij het certificaat in onze IIS niet eens geinstalleerd - de CSG SSL-proxied als het ware alles, misschien (mocht je een testomgeving hebben ) kan je dat eens proberen, dan heb je over 2 jaar als je het certificaat verlengt niet de mogelijkheid het verkeerd te doen

Wij hebben deze opstelling laatst opgezet en zo werkte het in de testopstelling inderdaad wel.

[sanfranjake]

elevator schreef op vrijdag 09 november 2007 @ 10:36:
Als ik het goed heb hebben wij het certificaat in onze IIS niet eens geinstalleerd - de CSG SSL-proxied als het ware alles, misschien (mocht je een testomgeving hebben ) kan je dat eens proberen, dan heb je over 2 jaar als je het certificaat verlengt niet de mogelijkheid het verkeerd te doen

Ligt dat er niet aan of je de CSG ook via SSL met de WI laat praten? Volgens mij hoef je als dat een non-ssl connectie is geen certificaten voor het CSG <>WI deel te gebruiken