Trin 4 af 8

4. Find de certifikater, I allerede har

En netværksscanning viser, hvilke servere der svarer med TLS, og hvornår deres certifikater udløber. Trinnet er valgfrit.

Intet i de næste trin bygger på scanningen. Gå direkte til trin 5, Forbind servere. En service-agent finder selv certifikaterne på sin server, når den melder sig.

Scan et netværk

Scanningen kører fra appliancen, så appliancen skal kunne nå adresserne.

Åbn Find servere › Discovery, og klik på Ny netværksscanning.
Skriv adresserne under IP-intervaller, én pr. linje: IP-adresser, CIDR-intervaller som 192.168.1.0/24 eller intervaller af adresser.
Lad Porte stå, som det er. Så scannes standardportene.
Klik på Start scanning.

Serverne står under Opdagede servere. Klik på Detaljer på en server for at se udsteder, udløbsdato og karakter for hver TLS-port. Derfra kan I:

klikke på Aktiver, så appliancen scanner serverens TLS-porte igen hver nat kl. 04:00.
klikke på Administrér, så serveren oprettes i sslbrain. En Windows-server får derefter en service-agent (trin 5).

Tjek én adresse

Åbn Find servere › TLS-scanning, og klik på Ny scanning.
Skriv hostname og port, fx intranet.example.dk og 443, og start scanningen.

Resultatet viser certifikatet og en Karakter for TLS-opsætningen.

Scan efter en tidsplan

Planlagt scanning er slået fra, indtil I slår den til. Kun en administrator kan gemme.

Åbn Find servere › Indstillinger.
Slå Aktiver discovery til.
Vælg Scanfrekvens: Hver time, Dagligt eller Ugentligt.
Skriv CIDR-intervaller under IP-intervaller, adskilt af komma, fx 10.0.0.0/24, 192.168.1.0/24.
Klik på Gem indstillinger.

De øvrige felter står under Felter til planlagt scanning.

Certifikater på serverne

Certifikater › Fundet på servere viser gyldige certifikater, som sslbrain ikke selv har installeret. De kommer fra serverens certifikatlager, når en service-agent melder sig (Discovery på serveren), fra Windows CA og fra certifikater, I uploader uden en profil.

sslbrain fornyer ikke certifikaterne på listen. Skal et af dem fornyes automatisk, så lav en regel for serveren (trin 8).

Certifikater, der er udløbet inden for 90 dage, står under Certifikater › Udløbet. Certifikater, der er afløst af et nyere, står under Certifikater › Erstattet.

Upload et certifikat

Upload et certifikat, som hverken scanningen eller en agent kan nå, så I holder øje med udløbsdatoen.

Åbn Certifikater, og klik på Upload certifikat.
Vælg filen under Certifikatfil: PEM, CRT, CER, DER, PFX, P12 eller JKS, højst 5 MB.
Tilføj den private nøgle, kæden og adgangskoden til en PFX-, P12- eller JKS-fil, hvis I har dem.
Klik på Upload certifikat.

Uden privat nøgle overvåges kun udløbsdatoen. Med nøglen kan certifikatet installeres på en server. Et uploadet certifikat fornyes ikke, og en upload installerer ikke noget.

Hvis det fejler

Scanningen finder ingen servere: appliancen skal kunne nå de scannede adresser gennem firewallen. Se Serveren kan ikke nås.
TLS-scanning giver intet resultat: appliancen skal kunne slå navnet op og nå porten.
Den planlagte scanning kører ikke: Aktiver discovery skal være slået til, og IP-intervaller må ikke være tomt.
Fundet på servere er tom: listen fyldes, når en service-agent har meldt sig. Se trin 5.

Porte, der scannes som standard

Appliancen scanner de 24 porte herunder og de porte, som installerede agentpakker angiver:

22, 25, 110, 135, 143, 389, 443, 445, 465, 587, 636, 993, 995,
1433, 3306, 3389, 5001, 5432, 5985, 5986, 8006, 8080, 8443, 9090

Markér OS-detektion (ingen TLS) for kun at gætte styresystemet uden at læse certifikater.

Felter til planlagt scanning

Felt	Standard	Hvad det gør
Porte	tom	Tom betyder standardportene, uanset hvad hjælpeteksten under feltet nævner.
Ekstra TCP-porte	tom	Porte, der kun kontrolleres for, om de er åbne.
Ekstra direkte TLS-porte	tom	Porte, hvor appliancen også læser certifikatet.
Opbevaringstid (dage)	90	Scanninger og fundne servere, der ikke er aktiveret, slettes efter så mange dage.
TCP probe threads	3	Hvor mange forbindelser scanningen prøver samtidig.
Delay mellem batches (ms)	0	Pause mellem hver gruppe af forbindelser, så netværket belastes mindre.