Rinnovo automatico
Uno scheduler interno controlla le scadenze e rinnova un certificato alla volta, per restare nei limiti delle autorità. Un rinnovo si avvia anche a mano dall'interfaccia o dall'API REST.
Corellix Software Engineering
Soluzioni
NetScaler-ACME
NetScaler-ACME
Certificati che si rinnovano da soli, su ogni NetScaler.
NetScaler-ACME è un servizio Linux che richiede e rinnova i certificati SSL/TLS con il protocollo ACME, da Let's Encrypt o da un'altra autorità ACME, e li installa sul NetScaler ADC tramite le API REST NITRO. Aggiorna il certificato già associato ai virtual server, salva la configurazione e vi dice che cosa ha fatto.
- NetScaler ADC 13.x · API REST NITRO
- Let's Encrypt e altre autorità ACME
- RPM · DEB · Docker
Rinnovo senza interruzioni
Il nuovo certificato prende il posto del vecchio nello stesso certkey: i virtual server non si fermano.
Con 30 giorni di anticipo
Un controllo ogni sei ore rinnova ogni certificato ben prima della scadenza; entrambi i valori si impostano.
Ogni azione notificata
E-mail e webhook su rinnovi, avvisi ed errori, e un registro di audit in sola aggiunta.
Privilegi minimi sul NetScaler
Un utente NITRO dedicato, con una command policy che consente solo file SSL, certkey e salvataggio della configurazione.
Provate NetScaler-ACME da qui
Un'interfaccia web per tutto il gruppo. Qui sotto, con dati di esempio, lo scheduler rinnova un certificato vicino alla scadenza: seguite il log del job riga per riga, controllate quali vServer dei NetScaler sono pronti per la challenge HTTP-01 e provate «Rinnova» su un certificato.
L'interfaccia è quella del prodotto, i dati sono di esempio: la simulazione non è collegata a nessun sistema.
Il problema
Novanta giorni passano in fretta
I certificati Let's Encrypt durano novanta giorni, e la durata dei certificati in tutto il settore continua ad accorciarsi. Sul NetScaler ogni rinnovo è la stessa sequenza manuale: richiedere il certificato, caricare certificato e chiave, aggiornare il certkey, collegare la catena, salvare la configurazione.
Moltiplicata per decine di domini e più appliance, diventa un calendario di scadenze in cui un rinnovo dimenticato è un sito che smette di rispondere in HTTPS.
La risposta
Un servizio che fa tutta la sequenza
NetScaler-ACME tiene l'elenco di certificati, NetScaler e account ACME. Quando un certificato si avvicina alla scadenza ne chiede uno nuovo, valida il dominio con la challenge HTTP-01 instradata dal NetScaler stesso, carica i file via NITRO, aggiorna il certkey e salva la configurazione.
L'interfaccia web mostra che cosa sta per scadere, che cosa è stato rinnovato e che cosa non è andato, con il log di ogni job.
Che cosa fa NetScaler-ACME
Rotazione senza interruzioni
I file nuovi si caricano con un nome datato e il certkey si aggiorna sul posto. I vecchi si cancellano solo dopo, e restano se è cambiata l'autorità che li ha emessi.
Inventario dei NetScaler
Legge certkey e virtual server di ogni appliance registrata, mostra quali certificati sono gestiti e quali no, e verifica se la challenge HTTP-01 può essere instradata.
Più autorità ACME
Let's Encrypt, in produzione e in prova, e Buypass già pronti; ZeroSSL, Google Trust Services e SSL.com con External Account Binding. Si possono aggiungere altre directory ACME v2.
Notifiche e audit
E-mail via SMTP e un webhook generico su ogni evento rilevante, un registro in sola aggiunta di chi ha fatto che cosa, e lo storico di ogni job con il suo log.
Pensato per l'esercizio
Segreti cifrati a riposo, utenti locali, pacchetti RPM e DEB con unità systemd oppure immagine Docker, script di backup e ripristino.
Un'esecuzione, passo per passo
-
1
Si registra il NetScaler
L'indirizzo della NSIP e un utente NITRO dedicato con privilegi minimi; la verifica della connessione legge subito l'appliance.
-
2
Si instrada la challenge
Una policy di responder o di content switching manda /.well-known/acme-challenge/ al servizio. I comandi per il NetScaler li scrive l'interfaccia.
-
3
Si aggiungono i certificati
Nome comune, nomi alternativi, autorità ACME e il certkey da aggiornare sul NetScaler.
-
4
Lo si lascia lavorare
A ogni controllo rinnova ciò che è vicino alla scadenza, aggiorna il certkey, salva la configurazione e ve lo notifica.
Che cosa serve
- NetScaler
- NetScaler ADC 13.x, API REST NITRO su HTTPS (443)
- Dove si installa
- VM Linux: RPM per RHEL, Rocky e Alma 9, pacchetto DEB, oppure immagine Docker
- Validazione
- HTTP-01: la porta 80 dei domini pubblicati, instradata dal NetScaler al servizio
- Autorità
- Qualunque directory ACME v2, con o senza External Account Binding
- Account NetScaler
- Utente di sistema dedicato, con una command policy limitata a file SSL, certkey e save ns config
- Come si usa
- Interfaccia web dal browser, API REST
Quello che ci chiedono
Il servizio deve essere raggiungibile da Internet?
Non necessariamente. Il NetScaler può passare le richieste di validazione al servizio con una policy di content switching, e il servizio resta sulla rete interna. I comandi li scrive l'interfaccia, e la sua guida a DNS e NAT spiega le alternative.
I certificati wildcard sono supportati?
Non ancora: i wildcard richiedono la challenge DNS-01, che è nella roadmap. Oggi la validazione è HTTP-01.
Che cosa succede se un rinnovo non riesce?
Il certificato attuale resta sul NetScaler com'è, l'errore vi arriva per e-mail o webhook, e il log del job mostra il passo in cui si è fermato. Il controllo successivo riprova.
Funziona con più NetScaler?
Sì. Ogni certificato è legato all'appliance e al certkey che aggiorna, e l'inventario legge tutte le appliance registrate.
È un prodotto ufficiale NetScaler?
No. È un prodotto di Corellix Software Engineering che usa le API REST pubbliche NITRO. NetScaler è un marchio di Cloud Software Group, Inc.
In arrivo
Le prossime funzionalità previste. Se una vi serve prima, ditecelo nella richiesta.
- Challenge DNS-01 e certificati wildcard
- Accesso unico con OIDC
- Segreti in HashiCorp Vault
Parliamone
Diteci quanti certificati rinnovate a mano
Vi mostriamo NetScaler-ACME su un'appliance di prova e vi aiutiamo a instradare la prima validazione sulla vostra.
Preferite scriverci? Pagina Contatti
NetScaler-ACME è progettato, sviluppato e supportato da Corellix Software Engineering: il team della piattaforma Corellix, che costruisce anche software su misura, strumenti per l'infrastruttura e migrazioni di dati.
Chi siamo Tutte le soluzioni