Hoppa till innehåll
Dokumentation sslbrain sslbrain.com

Ivanti Connect Secure

Kopiera länk till sidan “Ivanti Connect Secure”

← Alla integrationer

Brandvägg och VPN

Installerar VPN-enhetens certifikat på valda portar med TLS-verifiering och automatisk återställning.

Appliancen kör paketet och ansluter till Ivanti Connect Secure genom Connect Secure REST API över HTTPS på port 443. Ingen agent installeras på Ivanti Connect Secure.

Så går det till

  1. Appliancen ansluter till Ivanti Connect Secure genom Connect Secure REST API på port 443.
  2. Discovery matchar SHA-256 för certifikatet som faktiskt serveras till ett enhetsobjekt och explicita portbindningar. Discovery läser scoped inventory och visar även VPN-bindningar med ett annat certifikat än management. Välj exakt port som regelmål; oklart tillstånd ändras inte.
  3. Agenten sparar bindningarnas återställningspost och behåller tidigare certifikat och privata nycklar på enheten. PEM-certifikat, nyckel och kedja importeras som ett separat krypterat PKCS#12-objekt.
  4. Val av tjänst flyttar automatiskt bara valda bindningar till det externt hanterade certifikatet. Ursprungligt certifikat, gammal ACME-konfiguration och tidsplan samt andra tjänster behålls. Versions- och capability-discovery väljer import- och bindningsvägen.
  5. En ny TLS-handshake med SNI kontrollerar vald ports certifikat efter aktivering. Misslyckad aktivering utlöser automatisk rollback till tidigare bindningar och TLS-kontroll av återställningen.

Tekniska detaljer

Anslutning
Paketet körs på appliancen, som ansluter över HTTPS till Connect Secure REST API, port 443. Ingen agent installeras.
Tjänstens portar
443
Ni behöver
En administratör med REST API-åtkomst i vald realm och rättigheter för enhetscertifikat och portbindningar. Admin Users är standardrealm. Appliancen måste nå management-HTTPS och valda VPN-portar. TLS kontrolleras med CA eller en SHA-256-certifikatpin. CA-bundlen måste lita på levererad ersättningskedja före import. Credentials levereras genom sslbrains skyddade indata.
Plattform
Ivanti Connect Secure 22.x och Pulse Connect Secure 9.1R7+ med REST API, SHA-256 i utökat certifikatinventory och explicita portbindningar.
Åtgärder
Discovery, Installation, Kontroll, Rollback
Paket
ivanti-connect-secure-api
Observera
  • Det vanliga regelmålet levererar ett discovery-id. Avancerade uppgifter kan välja flera portar eller en VPN-port med ett annat enhetscertifikat med IVANTI_TARGETS_BASE64. Valt certifikat fingerprint-matchas före ändringar. Ange VPN-adress, port och SNI när de skiljer sig från management-adressen.
  • Tjänstevalet är ert val av certifikathantering; ingen extra övertagandeinställning krävs. Resultatet visar flyttade bindningar och tidigare enhets- och ACME-certifikat som behållits för dessa bindningar; ACME-konfiguration och ej valda bindningar ändras inte. Nekad inloggning upprepas inte; oklart tillstånd ger ett redigerat resultat utan nycklar eller lösenord.
  • Om management-porten får det nya certifikatet ska rapporterat management_pin_after sparas som pin för senare uppgifter. Verify och rollback använder installationens offentliga återställningspost; konkurrerande ändringar på valda portar skrivs inte över.

Krav på certifikatet

Nycklar: sslbrain levererar RSA 2048/3072/4096 och ECDSA P-256/P-384. Ivantis 22.7R2-utvärderingslista omfattar även P-521. ECC-enhetscertifikat gäller ISA och virtuella appliances och kräver kompatibla klienter. DSA stöds inte. Universella maxstorlekar för extern import och äldre versioner anges inte.

CN: Ett allmänt CN-krav vid extern import är inte dokumenterat. iOS-certifikatautentisering kräver att enhetens värdnamn matchar CN. Kompatibilitet med CN-lösa Let’s Encrypt tlsserver- och Google minimal-profiler anges inte för vanlig HTTPS och kan inte förutsättas för iOS-flödet.

KU/EKU: Tillverkarkällorna anger inte om enhetscertifikatet kräver clientAuth-EKU eller keyEncipherment-KU. Klientcertifikats EAP-TLS-krav används inte som enhetskrav. Minimalprofiler saknar dessa fält; deras fullständiga kompatibilitet anges inte.

SAN: Wildcard-enhetscertifikat är dokumenterade. Android ISAC 22.5.1+ kräver IP-adressen i SAN vid anslutning via IP. Maximalt antal SAN anges inte. Certifikatet måste täcka vald TLS-probes namn eller IP.

Format: Ivanti dokumenterar X.509 PEM/DER och PKCS#12 PFX/P12. Agenten tar emot PEM och bygger krypterad PKCS#12 för REST-import; JKS-enhetsimport är inte dokumenterad.

PFX-kryptering: Agentens standard är 3DES/SHA-1; AES-256/SHA-256 kan väljas. En komplett versionsmatris för 3DES, RC2 och AES anges inte. Ett legacy-exempel med RC2/3DES fastställer inget allmänt AES-förbud.

Kedja: Ivanti har ett separat intermediate-store. Administrationsguiden beskriver rot först vid separat import och valfri ordning vid samlad import till detta store. PFX-importens kedjeordning och krav på rot anges inte. Agenten behåller levererad ordning, tar bort dubbletter och ändrar inga trust stores.

Friendly name/alias: Enhets-API-exemplen kräver inget separat aliasfält. PKCS#12-friendlyName-regler och längdgränser anges inte.

Giltighetstid: Certifikatet måste vara giltigt vid aktivering. Numeriska minimi- och maximigränser för importerad giltighetstid anges inte.

Kom igång