SSL certificaat installeren in IIS manager / .pfx file aanma

[Verwijderd]

Hallo allen,

Onlangs kreeg ik op mijn werk de melding dat ons SSL beveiligings certificaat was verlopen. Na enige rondvraag heb ik via ons host een nieuw certificaat mogen ontvangen.

Het zip file wat ik kreeg bestond uit 4 bestanden. Uiteindelijk moet het nieuwe certificaat in de IIS manager worden geplaatst. Ter verduidelijking: wij maken gebruik van een Windows SBS Server 2008. Het betreffende beveiligingscertificaat betreft onze webmail.

Deze doet het nog wel, maar de website remote. ... .nl is nu niet meer veilig. Dat kun je ook links bij de adresbalk zien. Je krijgt dus constant pop-ups dat deze remote server niet veilig is. Dit komt dus door het certificaat wat verlopen is. Ook Outlook 2013 werkt niet meer.

Afijn, ik heb dus de 4 bestanden met daarin het nieuwe certificaat, welke in de IIS manager moet worden geïnstalleerd. Echter, IIS herkent alleen .pfx bestanden, en dat zijn deze bestanden niet.

De bestanden moeten via een OpenSSL converter worden omgezet in 1 .pfx bestand, dat is het certificaat met key in een.

Moet het converteren met behulp van de commando's nou op de server gebeuren of kan dit bij wijze van spreken ook op mijn werk PC? Dit is mij niet duidelijk. Als het op de server moet gebeuren, hoe en waar moet ik de 4 bestanden dan neerzetten op de server? Gewoon op het bureaublad of ergens anders?

Zijn er eventueel nog andere oplossingen of manieren om zo'n certificaat te installeren in IIS? Ik hoor het graag, ik ben hier nog niet zo ervaren mee, dus alle hulp is welkom!! Alvast enorm bedankt!! Vragen en antwoorden zie ik met belangstelling tegemoet.

Vriendelijke groet,
Koen Stronkhorst

[Breezers]

En welk informatie mis je nog als je in het juiste forum gedeelte ( Serversoftware en Windows Servers ) gaat zoeken op SBS 2008 en SSL ? (http://gathering.tweakers...find?keyword=SBS+2008+ssl)

Ook met Google kan je veel informatie vinden van Tweakers..... (https://www.google.nl/sea...te:gathering.tweakers.net)

[ Voor 23% gewijzigd door Breezers op 09-02-2016 09:23 ]

[Fish]

Ja wat voor bestanden zijn het dan wel ?


Lees deze shit ff
https://www.sslshopper.com/ssl-converter.html
De converter zou ik niet gebruiken, domweg omdat je niemand je private key moet toevertrouwen
(wat ze zelf ook zeggen)

It is highly recommended that you convert to and from .pfx files on your own machine using OpenSSL so you can keep the private key there. Use the following OpenSSL commands to convert SSL certificate to different formats on your own machine

openssl kun je op iedere pc draaien, de pfx importeer je uiteindelijk gewoon in je iis
deze bewaar je daarna op een veilige plek. de pfx wordt geimporteert in de certificate store.

[ Voor 119% gewijzigd door Fish op 09-02-2016 09:34 ]

[Verwijderd]

Ik heb 4 bestanden gekregen:

- cabundle.crt?
- certificate
- certificate.key
- certificate PKCS nr. 7 certificaat

Deze bestanden moeten worden omgezet in een .pfx bestand. Zover was ik al gekomen. Maar ik weet dus niet hoe ik deze moet omzetten naar zo'n bestand. Met behulp van een OpenSSL converter, dat weet ik ook, maar welke commando's dien ik te gebruiken en moet dit op de server zelf gebeuren of kan ik ook op windows 7 bv. Daar kom ik dus niet uit, en als dit op de server moet, hoe kan de bestanden dan goed uploaden?

[Paul]

Je hebt niet zelf een CSR gemaakt die je nu compleet kunt maken met het certificate?

Ik zie een .key-bestand, heb je de hoster (of iemand anders) een mailtje gestuurd "Hey, mag ik een certificaat voor remote.blabla.nl?"

De bestanden uploaden naar de server, hoe denk je? Hoe ben je van plan de .pfx op die server te krijgen? Hoe kun je bij die server, RDP? Dan kun je waarschijnlijk gewoon kopiëren/plakken

OpenSSL voor Windows (https://www.openssl.org/community/binaries.html -> https://wiki.openssl.org/index.php/Binaries -> https://slproweb.com/products/Win32OpenSSL.html ) kun je gewoon op je lokale werkstation zetten en draaien, daar komt een .pfx uit die je naar de server overzet.

Op https://www.sslshopper.co...mon-openssl-commands.html staan wat commando's, waaronder:

code:

openssl pkcs12 -export -out certificate.pfx -inkey certificate.key -in certificate -certfile cabundle.crt

[Fish]

@ts
Zie boven

Als je niet weet hoe je bestanden moet uploaden naar de server moet je er niet aan beginnen

[Paul]

Ik zou inderdaad aanbevelen dit uit te besteden aan je systeembeheerder, die weet waarschijnlijk ook hoe hij het certificaat in IIS / Exchange krijgt.

Hoe hangt het aan het internet, poort 443 (en evt 80, maar dat zou ik niet aanbevelen als je rechtstreeks naar IIS gaat, laat de gebruiker die extra S achter HTTP maar intypen) rechtstreeks doorgeNAT naar je server? Of zit er een reverse proxy voor? Hoe goed is de boel dichtgetimmerd? Welke score haal je op https://www.ssllabs.com/ssltest/ (vergeet "Do not show the results on the boards" niet aan te vinken )?

[Verwijderd]

Okay bedankt voor de tips!! Ik heb inmiddels een .pfx bestand aangemaakt, dat is allemaal gelukt. Nu moet deze alleen nog worden geïnstalleerd in het IIS management. En gekoppeld aan de website remote.xxx.nl.

Dit kan via kopje sites zie ik: iemand een idee, welke configuratie ik moet toepassen?

[Fish]

-> ga naar bindings -> Klik wat er op poort 443 draait -> edit -> en kies het juiste certifikaat

neem ik aan, geen ervaring met de owa, maar dit is normaal

[Verwijderd]

jaa klopt, dit heb ik gedaan, nu wordt er alleen gevraagd om een fysiek pad in te voeren?

Iemand een idee welke map ik nodig heb?

[Donaldinho]

Het pad naar je pfx file?

[ Voor 8% gewijzigd door Donaldinho op 09-02-2016 11:16 . Reden: Damn you autocomplete ]

[Fish]

oh wacht je hebt hem nog niet geinstalleert

importeer hem dan.

ga naar server certificates en import

[Ypho]

Wellicht heb je hier iets aan: https://www.sslcertificat...stallatie_SSL_Certificaat

[Jazzy]

Hoe kom je er bij dat je dit in de IIS manager moet doen? SBS 2008: Managing Certificates

Fish schreef op dinsdag 09 februari 2016 @ 10:39:
-> ga naar bindings -> Klik wat er op poort 443 draait -> edit -> en kies het juiste certifikaat

neem ik aan, geen ervaring met de owa, maar dit is normaal

Het is SBS 2008, dus niet in de losse consoles gaan zitten rommelen maar netjes de ingebouwde tools gebruiken.

[ Voor 100% gewijzigd door Jazzy op 09-02-2016 11:53 ]

[Fish]

sbs over het hoofd gezien.


maar ik wil de iss geen los console noemen. dat zou ik eerder van de mmc zeggen dat zijn echt allemaal losse consoles. uiteindelijk komt je certifikaar er gewoon bij te staan toch ? of mis ik ergens en sbs gedachte ?

[Jazzy]

Ja. Het certificaat moet namelijk ook in Exchange geconfigureerd worden en misschien op nog meer plaatsen in de SBS tools.

[Koffie]

Move NT > WSS

[sanfranjake]

Jazzy schreef op dinsdag 09 februari 2016 @ 12:23:
Ja. Het certificaat moet namelijk ook in Exchange geconfigureerd worden en misschien op nog meer plaatsen in de SBS tools.

Precies wat Jazzy zegt, via het SBS Console de wizard gebruiken die het certificaat configureert. Het is voor mij al een tijdje geleden dus ik weet zo de naam even niet, maar je moet deze wizard heel makkelijk kunnen vinden in het console.

[Verwijderd]

Gedaan, werkte perfect, alles draait weer veilig nu. Bedankt allen!!!

[Jester-NL]

Verwijderd schreef op dinsdag 09 februari 2016 @ 09:33:
Ik heb 4 bestanden gekregen:

- cabundle.crt?
- certificate
- certificate.key
- certificate PKCS nr. 7 certificaat

Deze bestanden moeten worden omgezet in een .pfx bestand. Zover was ik al gekomen. Maar ik weet dus niet hoe ik deze moet omzetten naar zo'n bestand. Met behulp van een OpenSSL converter, dat weet ik ook, maar welke commando's dien ik te gebruiken en moet dit op de server zelf gebeuren of kan ik ook op windows 7 bv. Daar kom ik dus niet uit, en als dit op de server moet, hoe kan de bestanden dan goed uploaden?

Je hebt het aanmaken van de CSR uitbesteedt aan hetzelfde bedrijf dat je ook het certificaat verstrekt?
Daarmee geef je (in theorie) het hele certificaat (ook) in handen van dat bedrijf.
Er is op die manier niets dat ze tegenhoudt een kloon van je site op te zetten, en deze met jouw (volledige en valide) certificaat te ondertekenen.

Er is een reden dat de private key "Private" heet...

[Chris89]

Mag hopen dag deze Tweaker wel zelf de key heeft gemaakt en niet heeft oplestuurrd naar de hoster. Met de csr kan je hem aanvragen en zo hou je key private. Nu is waarschijnlijk je key niet private gebleven en je volledige certificaat waardeloos geworden. Certificaat is onveilig... Fijn zo'n systeem beheerder...

[Jazzy]

Fijn zo'n systeem beheerder...

Hmm, nog even lekker natrappen is ook niet nodig toch?

Ik zeg wel eens dat elk bedrijf zijn IT krijgt die het verdient. Als een bedrijf het niet belangrijk vind om met goed opgeleide beheerders te werken of slechte IT dienstverleners inhuurt dan krijgen ze ook de kwaliteit die daarbij hoort. En doorgaans vinden ze dat ook prima trouwens.

[ Voor 3% gewijzigd door Jazzy op 19-02-2016 10:21 ]