Certificaten

Een certificaat wordt gebruikt om de verbinding met de server te beveiligen. Het bevestigt de herkomst van de ontvangen gegevens en draagt de openbare sleutel voor het versleutelen van de gegevens bij zich.

Status Van De Certificaten

Een certificaat vervalt na een bepaalde tijd. Antcas Control vernieuwt deze daarom voordat ze verlopen. De huidige status wordt rechtsonder in de editor weergegeven. Als een certificaat nog maar 7 dagen of minder geldig is, wordt ook een waarschuwing in de visualisatie weergegeven.

Werking En Voorbeeld

Het certificaat wordt altijd opgelost tot een FQDN (Fully Qualified Domain Name of volledige naam van een domein). Hiertoe is het nodig dat het IP-adres van de Antcas-server via een DNS-server moet worden opgezocht. Dit kan zowel in uw eigen netwerk als via een openbaar adres gebeuren. Zie DNS en poortforwarding.

  1. Adres https://home.my.antcas.com:8000/ wordt opgehaald
  2. De FQDN home.my.antcas.com wordt aan de DNS-server van de host doorgegeven. De servers worden meestal door de DHCP-server in het netwerk doorgegeven, maar kunnen ook handmatig worden geconfigureerd.
  3. Het adres is op de DNS-server geregistreerd:
    1. Het geconfigureerde interne IP-adres wordt teruggegeven
  4. Het adres is niet bekend:
    1. Er wordt op de volgende openbare DNS-server (ook nameserver genoemd) naar de FQDN gezocht
    2. Het verzoek gaat via de openbare DNS-server naar my.antcas.com, deze geeft dan het laatste bekende openbare IP-adres terug. Als het om een andere domein dan antcas.com gaat, wordt er bij DynDNS of de DNS-dienstverlener naar de FQDN gezocht.
  5. Zodra het IP-adres aan de browser is doorgegeven, wordt een versleutelde TLS-verbinding opgebouwd.
  6. Na de handshake wordt het certificaat en de herkomst van het adres gecontroleerd. De uitgever van het certificaat moet overeenstemmen met de ingevoerde FQDN.

Opmerking: Het adres kan zowel intern als extern worden opgezocht. Dat wil zeggen dat bij een lokale netwerkverbinding de verbinding direct wordt opgebouwd. Met deze methode werkt de communicatie ook verder bij een internetonderbreking.

Configuratie

Alle instellingen vindt u in de Infrastructuur. Een certificaat is altijd gericht op de FQDN. Deze wordt door de Server-Hostnaam en de individuele Netwerkinterfaces onder Geavanceerd geconfigureerd.

Opmerking: Als een nieuw certificaat wordt geïnstalleerd, moet de browser mogelijk opnieuw worden gestart om het correct weer te geven.

Cloud-Certificaat

Eindigt de FQDN met .my.antcas.com, wordt het certificaat automatisch gedownload door Antcas Hub. Bij deze methode is geen specifieke configuratie van de router nodig. De voorafgaande naam kan vrij worden gekozen.

Opmerking: Als een DynDNS-dienst wordt gebruikt, let er dan op dat de hostnaam overeenkomt met het adres van de dienst.

Externe Certificaten

Om een extern certificaat te gebruiken, kan dit in de Infrastructuur onder Certificaten in de map Extern worden geüpload. Een eigen certificaat heeft voorrang boven alle andere methoden. Als dit echter vervalt, worden automatisch andere methoden gebruikt.

Het geüploade certificaat moet in het PEM-formaat zijn en moet zowel de private sleutel als het certificaat bevatten. Als dit niet het geval is, kan dit met een teksteditor worden samengevoegd. De volgorde hoeft hiervoor niet te worden gevolgd. Het is belangrijk dat er een regelovergang tussen de delen staat. Bovendien is het belangrijk dat één domein (CN) in het onderwerp staat.

Certificaat Van Let's Encrypt Of ZeroSSL

Als geen van de bovenstaande methoden wordt gebruikt en bevat de naam een TLD, dan wordt er geprobeerd om een certificaat aan te vragen. Hiertoe moet de ingevoerde naam in een openbare DNS-server worden geregistreerd.

Bovendien moet poort 80 op de Server van buiten bereikbaar zijn. Als meerdere servers deze methode gebruiken, kan een ACME-Relay worden geïnstalleerd. Dit wordt hieronder beschreven.

Na ongeveer 2 tot 5 minuten zou het geldige certificaat nu moeten zijn geïnstalleerd. Als er een fout optreedt, kan de procedure worden herhaald als op Certificaat Vernieuwen wordt gedrukt.

Opmerking: Te veel herhalingen kunnen leiden tot een tijdelijke blokkering. Wacht even voordat u de procedure opnieuw uitvoert.

Geen Certificaat

Als het niet lukt om een certificaat te maken, wordt er een eigen certificaat door de server gegenereerd. Dit mag echter op geen enkele manier worden gebruikt voor productieomgevingen.

ACME-Relay

Het ACME-Relay wordt gebruikt om meerdere Servers te voorzien van een SSL-certificaat van Let's Encrypt of ZeroSSL. Hiertoe wordt de TCP-poort 80 doorgegeven.

Geef hiervoor elk IP-adres of de respectievelijke hostnaam per regel in.

Waarschuwing: Dit is geen proxy-toepassing en moet alleen worden gebruikt voor certificaten.