Instalación y Renovación de SSL - UNAM · 2020-02-28 · Universidad Nacional Autónoma de...

INSTALACIÓN Y RENOVACIÓN DE CERTIFICADO SSL APACHE SERVER

Departamento de Firma Electrónica Avanzada UNAM

Manual de Instalación

Universidad Nacional Autónoma de México DGTIC

Dirección de Sistemas y Servicios Institucionales Departamento de Firma Electrónica Avanzada

Manual de Instalación SSL Página 1 de 18 DGTIC - Firma Electrónica Avanzada UNAM

Contenido del Documento Ficha técnica del Documento ............................................................................................. 2

Control de Versiones del Documento ............................................................................. 2 Dirigido a .......................................................................................................................... 2 Alcance.............................................................................................................................. 2 Tipografía .......................................................................................................................... 2 Introducción....................................................................................................................... 3 Descripción del proceso de instalación por primera vez SSL .............................................. 3

Instalación de Certificado SSL en Apache2 Server ......................................................... 5 Descripción del proceso de renovación de SSL. ................................................................. 6

Renovación de Certificado SSL en Apache2 Server........................................................ 6 Instrucciones de reinstalación de Certificado SSL en Apache2 Server ............................ 6

Descripción del proceso de instalación de Certificado SSL en Zimbra ............................... 8 Descripción del proceso de instalación de Certificado SSL en NGINX .............................. 9 Descripción del proceso de instalación de Certificado SSL en Tomcat ..............................11

Instalar y configurar un intercambio de información personal (.pfx) ..............................12 Descripción del proceso de instalación de Certificado SSL en Windows Server 2012 .......11 Anexo I. ...........................................................................................................................17




Ficha técnica del Documento Control de Versiones del Documento Versión Fecha Autor Motivo del Cambio 1.0 15/01/2017 Departamento de Firma

Electrónica Avanzada Creación del documento Inicial

1.1 25/01/2019 Departamento de Firma

Electrónica Avanzada Actualización de documento

1.2 28/02/2020 Departamento de Firma Electrónica Avanzada

Actualización de documento

Dirigido a El presente documento está dirigido al personal técnico encargado de realizar la instalación y configuración de Certificados SSL proporcionados por la UNAM a Entidades y Dependencias.

Alcance El documento que a continuación se presenta, es una breve descripción de los pasos a seguir para la instalación y/o renovación de Certificados SSL. En el contenido se muestran los parámetros a modificar dentro de los servidores Apache2 server, con la finalidad de garantizar un correcto funcionamiento del Certificado SSL proporcionado por la DGTIC.

Tipografía

Tamaño Fuente Cuerpo de texto 11 Courier

New Líneas de comando Ejemplo: SSLCertificateFile /<RUTA>/my-servidor-web.cer

12 Courier Directivas a modificar Ejemplo: openssl genrsa -out servidor.key

12

Arial

Descripción (Texto plano)




Introducción Una vez enviada la solicitud de adquisición al correo electrónico ([email protected]), junto con el CSR (Certificate Signing Request), La DGTIC validará la información y en breve se pondrá en contacto con usted para completar el proceso. La DGTIC le proporcionará un par certificados adicionales (certificados intermedios*) vinculados al certificado raíz de GlobalSign. *Los certificados intermedios son necesarios para que los navegadores confíen en el certificado SSL que va a instalar en el servidor. Deberá asegurarse de que estos se encuentren instalados previamente. En este manual se proporcionan las instrucciones a seguir para instalar el certificado en Apache HTTP Server.

Descripción del proceso de instalación por primera vez SSL Preinstalación 1. Utilice el comando openssl para generar la llave privada, en este ejemplo se asume que el archivo generado tendrá el nombre de servidor.key:

openssl genrsa -out servidor.key Nota: Se debe tener en cuenta que el tamaño de llave sea de: 2048 - Generar la solicitud de certificado (CSR), a continuación se muestra el archivo de solicitud generado por el nombre de solicitud.csr

openssl req -new -sha256 -key servidor.key -out solicitud.csr Nota: Es importante considerar que el conjunto de funciones hash debe ser: SHA-56




A continuación introduzca la información que se incorporará en su solicitud de certificado. Lo que está a punto de ingresar es un Nombre Distinguido o un DN. El formulario que enseguida se despliega en pantalla contiene varios campos por completar, sin embargo se pueden omitir algunos y dejar en blanco. Si se desean establecer los valores por defecto en algunos campos, se debe ingresar el siguiente valor y el campo quedará en blanco: '.' Ejemplo: Country Name (2 letter code) [AU]:MX State or Province Name (full name) [Some-State]:CIUDAD DE MEXICO Locality Name (eg, city) []:CIUDAD DE MEXICO Organization Name (eg, company) [Internet Widgits Pty Ltd]:UNAM Organizational Unit Name (eg, section) []:DGTIC Common Name (e.g. server FQDN or YOUR name) []mi-servidor-web.unam.mx Email Address []:[email protected] Please enter the following 'extra' attributes to be sent with your certificate request A challenge password []: An optional company name []: Traducción Nombre del país (código de 2 letras) [AU]: MX Nombre del Estado o de la Provincia (nombre completo) [Some-State]: CIUDAD DE MEXICO Localidad Nombre (por ejemplo, ciudad) []: CIUDAD DE MEXICO Nombre de la organización (por ejemplo, empresa) [Internet Widgits Pty Ltd]: UNAM Nombre de la unidad organizacional (por ejemplo, sección) []: DGTIC Nombre común (por ejemplo, FQDN de servidor o SU nombre) []:mi-servidor-web.unam.mx Dirección de correo electrónico []: [email protected] Por favor ingrese los siguientes atributos 'extra' Que se enviará con su solicitud de certificado Una contraseña reto []: Un nombre de empresa opcional []:

IMPORTANTE: En la descripción del ejemplo anterior, mi-servidor-




web.unam.mx corresponde al nombre de su dominio, es decir, es indispensable que ingrese su dirección de forma correcta, de lo contrario la solicitud se cancelará.

Es importante que se verifique el contenido de la solicitud, los datos que se muestran serán plasmados en el certificado SSL. Nota: Si no se ingresa el nombre del servidor la solicitud se cancelará. openssl req -noout -text -in servidor.csr Al concluir la primera etapa deberá esperar un correo electrónico del Departamento de Firma Electrónica Avanzada UNAM ([email protected]) con el certificado emitido con extensión .cer Instalación de Certificado SSL en Apache2 Server Dependiendo de la versión que se encuentre instalada de Apache y el sistema operativo, se tendrán que modificar los siguientes archivos: httpd.conf, apache2.conf o ssl.conf Ejemplo: En este paso asume que el certificado proporcionado por la DGTIC tiene el nombre de:

• my-servidor-web.cer • Y el archivo de llave privada my-servidor-web.key

Las directivas a modificar se muestran en el siguiente ejemplo: Inicio del proceso. Ejemplo: # Configuracion de SSL SSLEngine on SSLCertificateFile /<RUTA>/my-servidor-web.cer SSLCertificateChainFile /<RUTA>/GlobalSignExtendedValidationCA-SHA256-G2.pem SSLCertificateKeyFile /<RUTA>/my-servidor-web/my-servidor-web.key SSLCACertificatefile /<RUTA>/GlobalSign.pem Nota: /<RUTA>/ hace referencia al directorio donde se encuentran los archivos.

• Los siguientes archivos se envían junto con el Certificado SSL: GlobalSignExtendedValidationCA-SHA256-G2.pem GlobalSign.pem




Fin del proceso.

Descripción del proceso de renovación de SSL. Renovación de Certificado SSL en Apache2 Server El proceso de renovación de Certificados SSL, consiste únicamente en reemplazar del directorio del servidor (Apache2 Server) el archivo que ha expirado. A continuación se describen las instrucciones básicas para renovar el Certificado SSL. Se debe tener en cuenta que para algunos tipos de servidores estos pasos pueden variar. Para obtener más información o asesoría personalizada puede comunicarse con la DGTIC UNAM. Instrucciones de reinstalación de Certificado SSL en Apache2 Server De acuerdo a la versión que se encuentre instalada de Apache y el sistema operativo, se tendrán que modificar los siguientes archivos: httpd.conf, apache2.conf o ssl.conf Ejemplo: En este paso asume que el certificado proporcionado por la DGTIC tiene el nombre de:

• my-servidor-web.cer

La directiva a modificar se muestra en el siguiente ejemplo: Inicio del proceso. Ejemplo: 1. La instrucción a seguir únicamente consiste en sustituir el Certificado SSL instalado (archivo expirado) por el nuevo Certificado SSL (archivo renovado) dentro de la ruta del servidor donde se encuentra alojado el archivo. # Configuracion de SSL SSLEngine on SSLCertificateFile /<RUTA>/my-servidor-web.cer 2. El proceso de renovación no afectará las demás directivas previamente configuradas durante la instalación inicial;; de acuerdo al proceso de automatización de GlobalSing en colaboración con la DGTIC UNAM, el CSR y los archivos PEM no serán afectados durante la reinstalación. SSLCertificateChainFile /<RUTA>/GlobalSignExtendedValidationCA-SHA256-G2.pem




SSLCertificateKeyFile /<RUTA>/my-servidor-web/my-servidor-web.key SSLCACertificatefile /<RUTA>/GlobalSign.pem Fin del proceso. Nota: /<RUTA>/ hace referencia al directorio donde se encuentran los archivos.

IMPORTANTE: Es importante mencionar que este caso sólo aplica para la renovación e integración de los certificados con la misma modalidad que fueron adquiridos en el período anterior. Asimismo si se desea cambiar de modalidad se deberán realizar los pasos señalados en la página 6 para poder integrar el certificado SSL a su servidor de acuerdo con las nuevas especificaciones.




Descripción del proceso de instalación de Certificado SSL en Zimbra Creación de CSR en Zimbra

1. Iniciar sesión como root (Raíz).

2. Ajustar el siguiente comando para que coincida con su información:

/Opt/zimbra/bin/zmcertmgr createcsr comm-nuevo

/C=US/ST=Utah/L=Lehi/O=Company/OU=Departamento/CN=su.dominio.com

en donde:

C = 2 dígitos de pais ST = Estado / Provincia L = Ciudad O = Nombre de la Organización OU = Departamento (por ejemplo, Departamento de TI) CN = Nombre común (mail.domain.com, *. domain.com)

Si desea incluir más de un nombre en la CSR, puede añadir subjectAltNames al final del comando. Ejemplo:

/Opt/zimbra/bin/zmcertmgr createcsr comm-nuevo

/C=US/ST=Utah/L=Lehi/O=Company/OU=Departamento/CN=su.dominio.com -subjectAltNames www.dominio.com, segundo.dominio.com

3. Al ejecutar el comando aparecerá la CSR en la siguiente ubicación:

/Opt/zimbra/ssl/zimbra/comercial/commercial.csr

Instalación de SSL en Zimbra

1. Una vez que se recibe el archivo .zip que contiene los archivos del certificado, se tendrá que guardar los archivos en el servidor.




2. Identificar el archivo con extensión .crt (su_dominio.crt) y renombrarlo como commercial.crt e integrar en el siguiente directorio:

/Opt/zimbra/ssl/zimbra/comercial/comercial.crt

3. Identificar el archivo con extensión .key (su_dominio.key) y renombrarlo como comercial.key e integrar en el siguiente directorio:

/opt/zimbra/ssl/zimbra/commercial/commercial.key

4. Se deberá ejecutar el siguiente comando para unir el CA raíz con el certificado intermedio y generar el chain.crt:

cat GlobalSignRootCA.crt GlobalSignOrganizationValidationCA-SHA256-G2.crt > /tmp/commercial_ca.crt

5. Al tener unificados los dos archivos se deberá ejecutar el siguiente comando para validar el archivo.key que previamente fue sustituido en la ruta del servicio de Zimbra:

/opt/zimbra/bin/zmcertmgr verifycrt comm /opt/zimbra/ssl/zimbra/commercial/commercial.key /tmp/commercial.crt /tmp/commercial_ca.crt

6. Una vez que la cadena de certificados es validada, se tendrá que ejecutar el comando para instalar el certificado SSL.

/opt/zimbra/bin/zmcertmgr deploycrt comm /tmp/commercial.crt /tmp/commercial_ca.crt 7. Para concluir con la instalación del Certificado SSL de tendrá que reiniciar el servicio de Zimbra con el comando: zmcontrol restart

Descripción del proceso de instalación de Certificado SSL en NGINX Instalación de SSL en NGINX Para instalar el Certificado SSL en Nginx, se deberá crear un Paquete de certificados. Es decir, que cada certificado (SSL Cert, Intermediate Cert y Root Cert) debe estar en formato PEM. A continuación se describen los pasos a seguir:




• Abrir cada certificado en un editor de texto plano. • Crear un nuevo documento en un editor de texto plano. • Copiar y pegar el contenido de cada certificado en un nuevo archivo. El orden debe ser: • Su certificado SSL GlobalSign • Certificado Intermedio GlobalSign • Certificado GlobalSign Root

1. Su archivo completo debe estar organizado de esta forma: ----- COMENZAR CERTIFICADO ----- #Su certificado SSL de GlobalSign # ----- CERTIFICADO FINAL ----- ----- COMENZAR CERTIFICADO ----- #GlobalSign Certificado Intermedio # ----- CERTIFICADO FINAL ----- ----- COMENZAR CERTIFICADO ----- #GlobalSign Root Certificate # ----- CERTIFICADO FINAL -----

2. Guardar el paquete de certificados como la extensión .crt

3. Cargar el paquete de certificados y la clave privada en el directorio del servidor Nginx.

4. Editar el archivo de hosts virtual Nginx (opcional). • Abrir el archivo de hosts virtual Nginx para el sitio web que se desea proteger.

• Si se requiere que el sitio sea accesible a través de conexiones seguras (https) y no seguras (http), necesitará un módulo de servidor para cada tipo de conexión. Es decir, deberá hacer una copia del módulo de servidor no seguro existente y pegarlo debajo del original.

• Añadir las siguientes líneas: servidor escucha 443; ssl en ssl_certificate /etc/ssl/your_domain.crt; ssl_certificate_key /etc/ssl/your_domain.key;




nombre_servidor tu.dominio.com; access_log /var/log/nginx/nginx.vhost.access.log; error_log /var/log/nginx/nginx.vhost.error.log; ubicación / root /home/www/public_html/your.domain.com/public/; index index.html;

5. Es importante asegurarse de ajustar los nombres de los archivos para que coincidan con sus archivos de certificado: • ssl_certificate debe ser su certificado primario combinado con el paquete de certificados raíz e intermedio que realizó en el paso anterior.

su_dominio.crt • ssl_certificate_key deberá ser el archivo de clave generado cuando creó el CSR.

6. Reiniciar Nginx:

sudo /etc/init.d/nginx restart

Descripción del proceso de instalación de Certificado SSL en Tomcat Instalación de SSL en Tomcat 1. Abrir el archivo conf/server.xml de Tomcat en un editor de texto. - Identificar el conector que se enlazará con el nuevo almacén de claves y descomprimirlo si es necesario (generalmente es un conector con puerto 443 o 8443. - Definir el nombre del archivo y la contraseña del almacén de claves en la configuración de su conector. Al finalizar el conector deberá de visualizarse de la siguiente manera.




2. Guardar los cambios en el archivo server.xml 3. Reiniciar Tomcat.

IMPORTANTE: Por defecto, Tomcat buscará su almacén de claves con el nombre de archivo .keystore en el directorio de inicio con el cambio de contraseña predeterminado. El directorio de inicio es generalmente / home / user_name / en sistemas Unix y Linux, y C: \ Documents and Settings \ user_name \ en sistemas Microsoft Windows.

Instalar y configurar un intercambio de información personal (.pfx) 1. Recuperar el archivo .pfx que se instalará en su servidor.

2. Guardar el archivo .pfx en la ubicación de su servidor Tomcat.

3. Actualizar la sección SSL del archivo de configuración server.xml con la siguiente información:

4. Reiniciar Tomcat para que el nuevo certificado se pueda visualizar en el sitio web.




Descripción del proceso de instalación de Certificado SSL en Windows Server 2012 Instalación de SSL en Windows Server 2012 1. Guardar su archivo de certificado en el servidor IIS donde se generó el CSR.

2. Al ingresar al Administrador de Internet Information Services (IIS), identificar la opción Connections y dar clic en el nombre de host del servidor. 3. En el menú principal del servidor seleccionado, identificar la sección IIS y dar doble clic en el icono Server Certificates.




4. En el menú Acciones, dar clic en Completar solicitud de certificado para abrir el asistente. 5. En la opción Specify Certificate Authority Response, seleccionar el archvo .cer del certificado SSL adquirido. A continuación ingrese un nombre descriptivo para identificar el certificado




6. En el panel de administración de (IIS), Seleccionar el sitio en el que desea habilitar el certificadp SSL.

7. En el menú Acciones, identificar la opción Editar sitio, dar clic en Enlaces. A continuación seleccionar el enlace para https y dar clic en Editar.




8. En la ventana Editar enlace del sitio, seleccionar en la lista desplegable el Certificado SSL y dar clic en ok. 9. Fin del Proceso




Anexo I Responsable Mtra. Lizbeth Angélica Barreto Zúñiga Jefa del Departamento de Firma Electrónica Avanzada Correo electrónico: [email protected] Teléfono: 56223975 Asesoría y soporte para instalación de SSL: Ing. Jhonatan Rafael Pontaza López Jefe de Administración de aplicaciones Correo electrónico: [email protected] Teléfono: 56223982




DEPARTAMENTO DE FIRMA ELECTRÓNICA AVANZADA

2020

Instalación y Renovación de SSL - UNAM · 2020-02-28 · Universidad Nacional Autónoma de...

Documents

Transcript of Instalación y Renovación de SSL - UNAM · 2020-02-28 · Universidad Nacional Autónoma de...