[Windows Server 2012R2] IIS Zertifikat

MetalForLive · 3. September 2014

Hi,

Ich habe im IIS eine HTTPS Seite erstellt, die läuft auch und ich komme über mein DynDNS drauf, allerdings kommt immer die Zertifikatswarnung.
Ich habe in IIS ein Zertifikat erstellt, habe es der Seite zugewiesen und habe es dann über die Export Funktion als .pfx (was anderes ging nicht) exportiert.
Dann habe ich das ganze Teil wieder importiert aber ich bekomme immer noch den Zertifikatsfehler.
Was mache ich da falsch ?
Habe leider noch nie was mit HTTPS gemacht und habe keine Erfahrung damit.

ntloader · 3. September 2014

Der Rechner mit dem du auf den IIS zugreifst vertraut der Certificate Root Authority wahrscheinlich nicht. Oder hast du ein "öffentliches" Zertifikat gekauft?

Helge01 · 3. September 2014

Wurde das Zertifikat von dir selbst mit einer lokalen CA signiert?
Kommt die Verbindung zustande wenn du diese Meldung akzeptierst?
Um was für eine Zertifikatswarnung handelt es sich?
Punkt a) unter mir ist natürlich wichtig!

d2boxSteve · 3. September 2014

Hi,

das wird nur funktionieren wenn du:

a) auf dem Server im erstellten Zertifikat unter CN (common name) den Dyndns-Namen einträgst mit dem du die Seite aufrufst und
b) auf dem Client auf dem du die Seite aufrufst dieses Zertifikat unter "vertrauenswürdige Herausgeber" installierst.

Geht dann ohne Meldung aber nur mit dem Dyndns-Aufruf (per IP kommt wieder die Meldung weil IP ungleich Dyndns Name) und an den Clients auf denen das Zertifikat importiert ist.

Allgemein anerkannte Zertifikate wie bei großen Sites muss man für teuer Geld kaufen (Laufzeit meisst 1 oder 2 Jahre) z.B. bei Verisign.

Mein Tip: wenns nur der eine Client ist machs wie oben beschrieben, ansonsten lebe mit der Warnung.

Gruß,
d2boxSteve

MetalForLive · 3. September 2014

Ja das es öffentliche CAs gibt wie Verisign weiß ich, allerdings wollte ich halt auf den Clients das Zertifikat installieren von denen aus die Site genutzt wird, ich dachte nicht dass es so umstädnlich wird.
Das mit dem CN muss ich dann mal testen .

Achso und ja das Zertifikat wurde natürlich von mir erstellt.

Helge01 · 3. September 2014

Für privat langt ein selbst unterschriebenes Zertifikat. Umständlich ist es auch nicht, man muss nur beachten, das der cn=meinedomain.de stimmt und dass das root-ca im Browser unter Vertrauenswürde Zertifizierungsstellen installiert ist.

d2boxSteve · 3. September 2014

@Helge01: wenn es ein self-signed Zertifikat mit passendem CN ist gibt es kein root-Zertifikat, dann muss nur dieses eine Zertifikat in vertrauenswürdige rein.

Helge01 · 3. September 2014

@d2boxSteve
Ich bin davon ausgegangen, dass man eine eigene CA erstellt hat und damit Zertifikate signiert. Dann muss das CA-Zertifikat in den Zertifikatsspeicher.

@MetalForLive
Als Tipp, ich würde an deiner Stelle xca verwenden. Das ist eine CA auf Basis von OpenSSL aber mit einer grafischen Oberfläche. Diese gibt es für Linux, Mac und Windows. Damit ist es äußerst leicht, Zertifikate mit einer eigenen CA zu erstellen.

MetalForLive · 3. September 2014

Wart mal, muss ich die Active Directory Zertifikats Dienst Rolle installieren ?

d2boxSteve · 3. September 2014

Active Directory Zertifikats Dienste ist die Mircrosoft eigene CA .... muss nicht, könnte man.
Nimm lieber die Empfehlung von Helge, die MS CA ist recht "eigensinnig" und man muss sich viel einlesen bis das klappt (ich hab die selbst am laufen ...).

MetalForLive · 3. September 2014

Also ich habe das Zertifikat mit Selfssl erstellt, es ist jetzt schon in IIS drinnen aber ich kann es nur als PFX mit Passwort exportieren.
Kann man es nicht noch anders irgendwie exportieren ?
Habe mir jetzt XCA Geladen und installiert, eig. müsste ich ja das Zertifikat dort importieren richtig ?

d2boxSteve · 3. September 2014

Hi,

der Aufwand mit exportieren macht doch nur Sinn wenn hier der common name dem dyndns Namen entspricht, ansonsten muss eh ein neues ausgestellt werden.
Das exportierte mit Passwort kannst du doch so auch bei den Clients mit dem Passwort in "vertrauenswürdige ..." doch auch importieren?

Gruß,
d2boxSteve

PS: XCA ist eine eigenständige CA .... mit der fängst du bei 0 an und legst zunächst das root-CA an, danach ein Zertifikat für deinen Webserver. Auf den Clients muss dann nur der public Teil der root-CA importiert werden (KLartextfile ohne Passwort) damit diese allen Zertifikaten dieser XCA vertrauen. Du kannst dann für mehrere Webserver/Devices Zertifikate erstellen.

MetalForLive · 3. September 2014

Gibts dafür irgendwie eine Step By Step Anleitung ?
Ich finde nichts richtiges dazu.

Edit:
Ahh hab doch was gefunden

http://xca.sourceforge.net/xca-14.html

Ergänzung (3. September 2014)

Also ich erstelle jetzt erst mal das root Zertifikat, muss ich da auch schon bei common name mein dyndns eintragen ?

d2boxSteve · 3. September 2014

nein, die CA sollte im common name z.B. "cn=meineFirma" oder so stehen haben damit man das root Zertifikat einer Institution zuordnen kann. (z.B. Verisign-root-CA, deineFirma-root-CA, ...)

Danach im Zertifikat für den Webserver1 trägst du ein: cn=webserver1.dyndns.org, für Webserver2 dann cn=webserver2.dyndns.org usw.
Die Einzelzertifikate müssen im CN mit dem Aufrufnamen übereinstimmen.

MetalForLive · 3. September 2014

Okay, habe das jetzt mal so nach der Anleitung erstellt und teste es jetzt mal.

Ergänzung (3. September 2014)

Ne irgendwie will er das nicht nehmen.
Habe es in vertrauenswürdige Stammzertifikate eingefügt und im Browser noch mal extra importiert.

Ergänzung (3. September 2014)

Ahhh ich bin auch blöd, habe es vergessen im Webserver als Bindung hinzu zu fügen *facepalm*

Irgendwie lässt es sich nicht als pfx exportieren und IIS nimmt nur pfx.

Helge01 · 3. September 2014

Exportiere es mal in p12 und versuche das im IIS zu importieren.

d2boxSteve · 3. September 2014

Mit openssl Tools (egal ob Linux oder Windows) kann man Zertifikate von a nach b konvertieren.

siehe unteren Bereich:
http://www.loth.de/ueber-uns/technik-blog/netzwerkadministration/114-openssl-zertifikate.html

MetalForLive · 3. September 2014

Mit p12 hats geklappt, allerdings will er das Zertifikat trotzdem nicht nehmen.

Um das richtig verstanden zu haben, ich erstelle das root Zertifikat und dann das Hostzertifikat in das ich auch als CN mein Dyndns eintrage.'

Ich erstelle es jetzt noch mal neu.
Im Root Zertifikat, was muss da bei CRL distribtion point eingetragen werden ?
Das habe ich nicht ganz verstanden.

Helge01 · 3. September 2014

allerdings will er das Zertifikat trotzdem nicht nehmen

Kannst du das noch genauer beschreiben?

Um das richtig verstanden zu haben, ich erstelle das root Zertifikat und dann das Hostzertifikat in das ich auch als CN mein Dyndns eintrage.

Das ist richtig, du erstellst erst ein Selbst signiertes Zertifikat (root-ca) und dann ein Serverzertifikat aber nicht selbst signiert, sondern "Verwende dieses Zertifikat zum Unterschreiben" (deine root-ca).
Unter Vorlage für das neue Zertifikat für das root-ca [default] CA und für das Serverzertifikat HTTPS_server auswählen.

d2boxSteve · 3. September 2014

CRL brauchst du nur konfigurieren wenn du Zertifikate vor deren Auslaufzeit sperren möchtest. Der Sperrvermerk steht dann in dieser URL.

Am Webserver muss natürlich zuvor das neue root Zertifikat rein, damit der Webserver es verifizieren kann ....

[Windows Server 2012R2] IIS Zertifikat

Admiral

Commander

Commodore

Commodore

Admiral

Commodore

Commodore

Commodore

Admiral

Commodore

Admiral

Commodore

Admiral

Commodore

Admiral

Commodore

Commodore

Admiral

Commodore

Commodore

Ähnliche Themen