Kom igång
Kopiera länk till sidan “Kom igång”Manualen tar er från en installerad appliance till det första certifikatet som sslbrain utfärdar, installerar på en av era servrar och sedan förnyar själv. Stegen kommer i den ordning ni utför dem.
- Installera sslbrain-appliancen i ert nätverk. Privata nycklar skapas här, och sslbrain Cloud ser dem aldrig.
- Konfigurera domänvalideringen: CNAME-vidarebefordran till your.autodns.sslbrain.net, åtkomst till er DNS-leverantörs API eller en TXT-post för dns-persist-01.
- Välj er CA: Let’s Encrypt, DigiCert, Google Public CA, Sectigo eller GlobalSign, eller er egen Windows CA (AD CS).
- Installera serviceagenter på Windows- och Linux-servrar. De hämtar själva sina certifikat från appliancen, i DMZ och på fjärrkontor via sslbrain Cloud.
- Skapa certifikat. sslbrain Cloud kommunicerar med CA:n och DNS, och appliancen kommunicerar bara med sslbrain Cloud via utgående anslutningar på port 443.
- Skapa installationsplaner: appliancen levererar själv certifikaten till FortiGate, F5, NetScaler, Palo Alto och annan utrustning utan agent.
Transport: så hämtar serviceagenten sina uppgifter
Serviceagenten startar alltid själv anslutningen, så den behöver ingen inkommande port på servern. De två vägarna är likvärdiga. En server kan använda den ena eller båda, och har den båda provar agenten som standard de direkta adresserna först.
DirektServern når appliancen.
Serviceagentpå Windows- eller Linuxservern
Anslutning: serviceagenten startar HTTPS till appliancen, på port 443 som standard, och hämtar sina uppgifter.
sslbrain appliancei ert nätverk
Meddelanden över anslutningen
- Uppgift sslbrain appliance till Serviceagent
- Resultat Serviceagent till sslbrain appliance
Via sslbrain CloudServern når inte appliancen, t.ex. på ett filialkontor eller hos en hostingleverantör.
Serviceagentpå Windows- eller Linuxservern
Anslutning: serviceagenten startar HTTPS på port 443 till sslbrain Cloud och hämtar sina meddelanden.
sslbrain Cloudbara relä
Anslutning: appliancen startar HTTPS på port 443 till sslbrain Cloud och hämtar sina meddelanden.
sslbrain appliancei ert nätverk
Vidarebefordrar asynkrona, signerade meddelanden, krypterade så att bara appliancen och agenten kan läsa dem. Styr inte agenten.
Meddelanden över anslutningen
- Uppgift sslbrain appliance till sslbrain Cloud till Serviceagent
- Resultat Serviceagent till sslbrain Cloud till sslbrain appliance
- Lokalt val på servern: med CloudDeny på Windows eller --cloud-deny på Linux går agenten aldrig via Cloud, oavsett vad appliancen skickar.
- Appliancen ansluter aldrig till agenten.
Utförande: vem installerar certifikatet var
Serviceagenten installerar certifikat på sin egen server. Mot andra destinationer gör appliancen eller en serviceagent arbetet över destinationens API eller SSH.
Vem utför
- sslbrain appliancei ert nätverk Körs i Bash Loggar in med uppgifter från vaulten.
- Windows-serviceagentpå sin egen Windowsserver Körs i PowerShell Hämtar själv uppgiften (diagram 1). Installerar lokalt på sin egen server, utan nätverksanslutning: t.ex. IIS, Exchange, SQL Server
- Linux-serviceagentpå sin egen Linuxserver Körs i Bash Hämtar själv uppgiften (diagram 1). Installerar lokalt på sin egen server, utan nätverksanslutning: t.ex. Nginx, Apache, Postfix
Push mot andra destinationer: appliancen eller en serviceagent
- Anslutning från den som utför till nätverksutrustning och appliances: API över HTTPS eller SSH. Nätverksutrustning och appliancesLastbalanserare, brandväggar, lagring och hypervisorer
- Anslutning från den som utför till molntjänster: API över HTTPS. MolntjänsterAWS, Azure, Google Cloud, Cloudflare och Akamai
- Windows- och Linuxservrar får bara certifikat genom sin egen serviceagent.
- Appliancen kan hitta Windowsservrar och installera serviceagenten på dem, men installerar aldrig certifikat förbi agenten.
- Minsta möjliga behörighet: vilka skript en agent får köra bestäms på servern, och appliancen kan inte ändra det. En Linux-agent kan nöja sig med att skriva i de certifikatmappar ni ger åtkomst till.
Det här behöver ni ha klart
Kopiera länk till avsnittet “Det här behöver ni ha klart”- Ett sslbrain Cloud-konto där ni är ägare eller administratör. Kontot måste ha godkänt licensvillkoren och personuppgiftsbiträdesavtalet.
- Plats för appliancen: en virtuell maskin i VMware, Proxmox eller KVM, eller en Linux-server med Docker. Se Innan ni börjar.
- Administratörsbehörighet på de servrar som ska ha certifikat.
Från installation till första certifikatet
Kopiera länk till avsnittet “Från installation till första certifikatet”Börja med steg 1. När appliancen svarar i webbläsaren fortsätter ni med steg 2. Steg 4 är valfritt.
- 1. Installera sslbrain Installera appliancen som virtuell maskin i VMware, Proxmox eller KVM, eller i Docker på er egen Linux-server, och öppna den i webbläsaren.
- 2. Första konfigurationen Koppla appliancen till ert sslbrain Cloud-konto, välj licens, spara de 12 backup-orden och välj Auto eller Manuellt.
- 3. Namn och certifikat för appliancen Ge appliancen det gratis namnet under my.sslbrain.net, så får den ett betrott certifikat utan att ni behöver göra något mer.
- 4. Hitta de certifikat ni redan har Valfritt: skanna nätverket och se vilka servrar som svarar med TLS och när deras certifikat går ut.
- 5. Anslut servrar Välj guiden för era servrar: serviceagenten på Windows och Linux, eller anslutning utan agent för nätverksutrustning och molntjänster.
- 6. Visa att domänen är er Skapa en CNAME-vidarebefordran för varje domän, så att sslbrain kan få certifikat utfärdade och förnyade för den. En DNS-API-uppgift är alternativet.
- 7. Välj var certifikaten kommer ifrån Använd profilen Gratis Auto för gratis certifikat, eller hämta certifikat från FairSSL, er egen Windows CA eller genom uppladdning.
- 8. Första certifikatet på servern Skapa en installationsplan som utfärdar certifikatet, installerar det på servern och gör det igen vid varje förnyelse, och kontrollera att servern levererar det.
Står en server på ett filialkontor, hos en hostingleverantör eller bakom en brandvägg som appliancen inte når igenom, se Servrar utanför ert nätverk.
Kom igång på appliancens startsida
Kopiera länk till avsnittet “Kom igång på appliancens startsida”När appliancen körs visar dess startsida Kom igång med de tre stegen från ansluten server till installerat certifikat. Ett steg bockas av när det har hänt, inte när ni har klickat på det.
- Anslut server: serviceagenten är installerad på en server och har checkat in, eller appliancen har nått en enhet utan agent (steg 5). Serviceagenten hittar tjänster och certifikat på servern och utför installationsplaner. Den väljer inte certifikat själv.
- Skapa installationsplan: en installationsplan bestämmer vilket certifikat som installeras på vilka tjänster och förnyar det automatiskt (steg 8). Certifikatet utfärdas från en certifikatprofil (steg 7) för namn som ni har visat är era (steg 6).
- Certifikat installerat: installationsplanen har installerat certifikatet på en av era servrar (kontrollera det).
Större miljöer
Kopiera länk till avsnittet “Större miljöer”Guider för särskilda situationer, när den första servern är igång.
- Rulla ut serviceagenten på många Windows-servrar Installera serviceagenten på många Windows-servrar på en gång med en GPO, eller med en tyst MSI-installation från SCCM eller Intune.
- Domäner utan DNS-API Validera domäner vars DNS-leverantör saknar inbyggt stöd i sslbrain: CNAME-vidarebefordran, egen DNS-server med RFC 2136, egen REST-leverantör eller skript.
- Interna certifikat från Windows CA Utfärda och förnya certifikat från er egen AD CS och få dem installerade av installationsplanerna precis som alla andra certifikat.
- Inloggning med Active Directory Låt kollegorna logga in på appliancen med sitt AD-konto och ge dem en roll utifrån deras AD-grupp.
- När appliancen ligger nere Vad som fortsätter att fungera medan appliancen ligger nere, och hur ni får upp den igen: omstart, ominstallation, återställning eller en ny appliance.
- Servrar som sslbrain inte känner till Få ut certifikat till en applikation som inget paket i katalogen täcker, med ert eget skript uppladdat som anpassad agent.
- Flytta eller återställ appliancen Återställ appliancen från en backup efter ett fel, eller flytta licensen till en ny appliance när maskinen ska bytas ut.
- Revision och efterlevnad Ge revisorn åtkomst till revisionsloggen och ta reda på vem som har ändrat vad, vem som kan hämta privata nycklar och vad appliancen gör på egen hand.
Det dagliga arbetet när certifikaten förnyas av sig själva.
- Håll koll på certifikaten Få ett e-postmeddelande eller ett webhook-anrop när ett certifikat, en installation eller en server kräver åtgärd, och se status på Översikt och Larm.
- Håll sslbrain uppdaterat Uppdatera appliancen till en signerad version, välj vad som uppdateras automatiskt och uppdatera från konsolen om webbgränssnittet inte svarar.
- Spara en backup och återställ från den Ta en backup av appliancens data och nycklar, spara en kopia utanför appliancen och återställ appliancen till tidpunkten då backupen togs.
- När något inte fungerar Slå upp det som appliancen visar och se orsaken och vad ni gör åt det.
Uppslag om appliancen och sslbrain Cloud.
- Integrationer Alla platser där sslbrain installerar certifikat. Sök, filtrera på operativsystem och typ och öppna guiden för den enskilda integrationen.
- Egna skript Ladda upp ert eget installationsskript i PowerShell, bash eller Python som anpassad agent, tillåt det på servern och se exempel, variabler och krav på agent.yml.
- Användare och inloggning Logga in med sslbrain Cloud eller ett lokalt lösenord, lägg till kollegorna med rätt roll och håll koll på licensens inloggningar.
- Säkerhet Hur appliancen skyddar de privata nycklarna, vad de 12 backup-orden öppnar, vilka data som skickas ut, vad som händer om något komprometteras och vilka portar som ska vara öppna.
- Policy och revision Vad appliancen gör på egen hand, vilka skript serviceagenterna får köra, domängränsen på Free och var revisionsloggen finns.
- Konsolmeny Varje val i den virtuella appliancens konsolmeny: status, nätverk, loggar, omstart, uppdatering, diskutrymme och Danger zone.
- sslbrain Cloud Kontot i sslbrain Cloud: appliances, installationsfiler och krav, licenser och units, team och flytt av en licens till en annan appliance.
- Support och diagnostik Skicka ett supportpaket till FairSSL, dela diagnostik, godkänn en supportpartner och öppna SSH för support i 24 timmar.
- Verktyg Läs av ett certifikat, konvertera mellan PEM, PFX, DER och JKS, skapa och slå upp CAA-poster och skapa ett självsignerat certifikat för test.
- Moduler Hämta de moduler som er licens ger, slå på dem och ställ in Windows CA och underhållsfönster.