Gå til indhold
Dokumentation sslbrain sslbrain.com

Ivanti Connect Secure

Kopiér link til siden “Ivanti Connect Secure”

← Alle integrationer

Firewall og VPN

Installerer VPN-device-certifikatet på valgte porte med TLS-verifikation og automatisk gendannelse.

Appliancen kører pakken og forbinder til Ivanti Connect Secure gennem Connect Secure REST API over HTTPS på port 443. Der installeres ingen agent på Ivanti Connect Secure.

Sådan forløber det

  1. Appliancen forbinder til Ivanti Connect Secure gennem Connect Secure REST API på port 443.
  2. Discovery matcher det faktisk serverede certifikats SHA-256 til ét device-objekt og eksplicitte portbindinger. Discovery læser scoped inventory og viser også VPN-bindinger med et andet certifikat end management. Vælg den præcise port som regelmål; uklar tilstand ændres ikke.
  3. Agenten gemmer bindingernes restore-record og beholder tidligere certifikater og private nøgler på enheden. PEM-certifikat, nøgle og kæde importeres som et separat krypteret PKCS#12-objekt.
  4. Valg af service flytter automatisk kun de valgte bindinger til det eksternt styrede certifikat. Det oprindelige certifikat, den gamle ACME-konfiguration og tidsplan samt andre services bevares. Versions- og capability-discovery vælger import- og bindingsvejen.
  5. En ny TLS-handshake med SNI kontrollerer den valgte ports certifikat efter aktivering. Fejlet aktivering udløser automatisk rollback til de tidligere bindinger og TLS-kontrol af gendannelsen.

Tekniske detaljer

Forbindelse
Pakken kører på appliancen, som forbinder over HTTPS til Connect Secure REST API, port 443. Der installeres ingen agent.
Tjenestens porte
443
I skal bruge
En administrator med REST API-adgang i den valgte realm og rettigheder til device-certifikater og portbindinger. Admin Users er standardrealm. Appliancen skal kunne nå management-HTTPS og de valgte VPN-porte. TLS kontrolleres med CA eller et SHA-256-certifikatpin. CA-bundlen skal give tillid til den leverede erstatningskæde før import. Credentials leveres gennem sslbrains beskyttede input.
Platform
Ivanti Connect Secure 22.x og Pulse Connect Secure 9.1R7+ med REST API, SHA-256 i udvidet certifikatinventory og eksplicitte portbindinger.
Handlinger
Discovery, Installation, Kontrol, Rollback
Pakker
ivanti-connect-secure-api
Bemærk
  • Det normale regelmål leverer ét discovery-id. Avancerede opgaver kan vælge flere porte eller en VPN-port med et andet device-certifikat med IVANTI_TARGETS_BASE64. Det valgte certifikat fingerprint-matches før ændringer. Angiv VPN-adresse, port og SNI, når de adskiller sig fra management-adressen.
  • Servicevalget er jeres valg af certifikatstyring; der kræves ingen ekstra overtagelsesindstilling. Resultatet viser de flyttede bindinger og de bevarede tidligere device- og ACME-certifikater for disse bindinger; ACME-konfiguration og uvalgte bindinger ændres ikke. Et afvist login gentages ikke; uklar tilstand giver et redigeret resultat uden nøgler eller passwords.
  • Hvis management-porten får det nye certifikat, skal det rapporterede management_pin_after gemmes som pin for senere opgaver. Verify og rollback bruger installationens offentlige restore-record; konkurrerende ændringer på valgte porte overskrives ikke.

Krav til certifikatet

Nøgler: sslbrain leverer RSA 2048/3072/4096 og ECDSA P-256/P-384. Ivantis 22.7R2-evalueringsliste omfatter også P-521. ECC device-certifikater gælder ISA og virtuelle appliances og kræver kompatible klienter. DSA understøttes ikke. Universelle maksimumstørrelser for ekstern import og ældre versioner er ikke angivet.

CN: Et generelt CN-krav ved ekstern import er ikke dokumenteret. iOS-certifikatautentifikation kræver, at device-værtsnavnet matcher CN. Kompatibilitet med CN-løse Let’s Encrypt tlsserver- og Google minimal-profiler er ikke angivet for almindelig HTTPS og kan ikke antages for iOS-forløbet.

KU/EKU: Producentkilderne angiver ikke, om device-certifikatet kræver clientAuth-EKU eller keyEncipherment-KU. Klientcertifikaters EAP-TLS-krav bruges ikke som device-krav. Minimal-profiler mangler disse felter; deres samlede kompatibilitet er ikke angivet.

SAN: Wildcard device-certifikater er dokumenteret. Android ISAC 22.5.1+ kræver IP-adressen i SAN ved forbindelse via IP. Det maksimale antal SAN er ikke angivet. Certifikatet skal dække den valgte TLS-probes navn eller IP.

Format: Ivanti dokumenterer X.509 PEM/DER og PKCS#12 PFX/P12. Agenten modtager PEM og bygger krypteret PKCS#12 til REST-import; JKS-device-import er ikke dokumenteret.

PFX-kryptering: Agentens standard er 3DES/SHA-1; AES-256/SHA-256 kan vælges. En komplet versionsmatrix for 3DES, RC2 og AES er ikke angivet. Et legacy-eksempel med RC2/3DES fastlægger ikke et generelt AES-forbud.

Kæde: Ivanti har et særskilt intermediate-store. Administrationsguiden beskriver rod først ved enkeltvis import og vilkårlig rækkefølge ved samlet import til dette store. PFX-importens kæderækkefølge og krav om rod er ikke angivet. Agenten bevarer den leverede rækkefølge, fjerner dubletter og ændrer ikke trust stores.

Friendly name/alias: Device-API-eksemplerne kræver intet separat aliasfelt. PKCS#12-friendlyName-regler og længdegrænser er ikke angivet.

Levetid: Certifikatet skal være gyldigt ved aktivering. Numeriske minimums- og maksimumsgrænser for importeret levetid er ikke angivet.

Kom i gang