Thread Info
  • State Verified Answer
  • +2 person also asked this people also asked this
  • Locked Locked
  • Replies 9 replies
  • Subscribers 31 subscribers
  • Views 13022 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

HTTPS-Scan | Signing-CA | Zertifikat läuft aus

TJ Hooker

Hallo Forengemeinde!

Ich lasse bei mir auch den HTTPS-Verkehr scannen. Dazu habe ich das Zertifikat der UTM (Web Protection | Filtering Options | HTTPS CAs) vor längerer Zeit heruntergeladen und via GPO als "Vertrauenswürdige Stammzertifizierungsstelle" an meine Clients verteilt. Das so verteilte Zertifikat läuft nun demnächst aus.

Was ist zu tun?

An o.g. Stelle (Web Protection | Filtering Options | HTTPS CAs) auf "Regenerate" klicken, das auf diese Weise neu erstellte Zertifikat herunterladen und eine neue GPO mit diesem Zertifikat erstellen, damit es an die Cients verteilt wird? Das war´s dann schon?

Durch das "Regenerate" wird das alte Zertifikat auf den Clients ungültig nehme ich an?
Meine User bekommen also ggf. so lange Zertifikats-Warnungen, bis das neue Zertifikat auf den Clients angekommen ist, korrekt?

Vielen Dank im Voraus!

TJ



This thread was automatically locked due to age.
  • +1

    Hallo,

     

    wenn ich es gerade richtig gesehen habe, wird beim Regenerate CA das Zertifikat ausgetauscht.

    Somit ist das alte nicht mehr verwendbar.

    Das neue CA lässt sich dann via GPO austeilen.

     

    Bei SSL VPN CAs ist es nicht so - Dort wird das alte zu einem Verifikation CA.

     

    Gruß

  • 0 in reply to LuCar Toni

    Danke!

    Dann mache ich das mal besser am Wochenende, damit sich alles "einrütteln" kann und die User am Montag gleich die neue GPO mit dem neuen Zertifikat erhalten.

  • +1 in reply to LuCar Toni

    Ich hänge mich hier einmal ran: Sobald ich ja ein neues Zertifikat generiere, sind ja alle bisher installierten Zertifikate auf den Clients nicht mehr gültig. Um uns jetzt etwas Luft zu verschaffen kam uns die Idee, nach Ausstellung des neuen Zertifikates dieses zu speichern und anschließend das alte Zertifikat wieder auf der Appliance einzuspielen. Danach können wir in Ruhe das neue Zertifikat verteilen und dieses dann auf der Appliance wieder einspielen. Funktioniert das und/oder hat das schon einmal jemand gemacht?

  • 0 in reply to MueTi

    Wie angesprochen: Welches Zertifikat wird verwendet?

    Das SSL Signing Certificate wird ausgetauscht. 

    Das alte Signing wird somit zur Verification CA und kann somit weiter genutzt werden, um SSL Connections annehmen zu können. 

    Ich würde es vorab mit einer anderen / Test Appliance ausprobieren. 

  • 0 in reply to LuCar Toni

    Es geht um den HTTPS-Scan, also Proxy CA.

  • 0

    Proposed sequence to prevent any user downtime:

    • Disable decrypt-and-scan on all Filter Profiles.
    • Generate  the new CA certificate
    • Update the GPO, adding the new CA certificate and removing the old one.
    • Wait at least two hours for the GPO to deploy
    • Enable decrypt-and-scan again

    However, the certificate is a machine-level GPO setting, so I am not sure if it will update every two hours or only on machine reboot.

  • 0 in reply to MueTi

    Hallo MueTi,

    Erstmal herzlich willkommen hier in der Community !

    (Sorry, my German-speaking brain isn't creating thoughts at the moment. [:(])

    That's a great idea!  I've marked it as THE answer.

    MfG - Bob (Bitte auf Deutsch weiterhin.)

  • 0 in reply to BAlfson

    One more clarification:   The download asks for a password, so I assume that it is including the private key.   

    Before distributing to clients, the private key should be removed, or every client device becomes a CA.   

    So we need to load the certificate onto a PC, then export it without the private key.

    I wonder how many sites have deployed it incorrectly.

  • 0 in reply to DouglasFoster

    Many thanks for explanation, this will help me.

    But the question was if it is possible too, to import the old certificate back into appliance after generate a new one. So we will have enough time to distribute the new certificate. The reason is that the certificate can´t distribute with GPO for Mozilla Firefox.