Fortinet FortiADC
Kopiér link til siden “Fortinet FortiADC”
Fornyer certifikatet på en FortiADC virtual server og FortiADC's management HTTPS-certifikat gennem REST API'et.
Sådan forløber det
- Appliancen forbinder til Fortinet FortiADC gennem FortiADC REST API på port 443.
- Certifikat og nøgle uploades som et nyt lokalt certifikat, og kæden som intermediate CA-certifikater i en intermediate CA group, som pakken selv opretter. Et certifikat, pakken allerede har uploadet, genbruges. Nøglen sendes som PEM i den verificerede TLS-forbindelse eller, når I vælger det, som PKCS12 under en engangsadgangskode.
- For en virtual server kopierer pakken dens local certificate group med det nye certifikat på det valgte medlems plads og peger kun dens client SSL profile på kopien. Den gamle gruppe ændres ikke. For management skifter pakken FortiADC's HTTPS-certifikat i system global. Hvis det fejler: Svarede tjenesten før skiftet og viser et ukendt certifikat bagefter, eller svarer en virtual server ikke længere, sætter pakken det forrige tilbage i samme kørsel og melder, om det lykkedes. Viser tjenesten stadig det gamle certifikat, meldes skiftet som ikke gennemført, og intet lægges tilbage.
- Kontrol: pakken læser konfigurationen igen i en ny forespørgsel og henter det certifikat, tjenesten viser over TLS, fra den virtual servers adresse og port eller fra management-forbindelsen. Resultatet afgøres af, om det er det nye certifikat. Når tjenesten viser det nye certifikat, meldes det også, om servernavnet står i certifikatet. Hvis det fejler: Kan appliancen ikke nå den virtual server, melder pakken resultatet med en advarsel ud fra konfigurationen.
Tekniske detaljer
- Forbindelse
- Pakken kører på appliancen, som forbinder over HTTPS til FortiADC REST API, port 443. Der installeres ingen agent.
- I skal bruge
- API-nøgle for en REST API-administrator med læse- og skriveret. Nøglen sendes kun i headeren APITOKEN, aldrig i en URL, og brugernavnet sendes ikke. Discovery finder de virtual servers, der kan fornys, så reglen vælger én af dem eller management.
- Platform
- FortiADC 7.4, 7.6 og 8.0 med en REST API-administrator
- Handlinger
- Discovery, Installation, Kontrol, Rollback, Fjernelse
- Pakker
-
fortiadc-api1.0.0 - Bemærk
-
- Pakken ændrer kun den valgte virtual servers client SSL profile eller management-certifikatet. Bruger andre virtual servers samme profil, får de også det nye certifikat, og resultatet nævner dem. Andre profiler, der bruger den gamle gruppe, og andre certifikater røres ikke.
- Får pakken ikke svar på en ændring, læser den FortiADC, før den gør mere, og sender aldrig den samme ændring to gange. Har andre ændret profilen eller system global undervejs, stopper pakken uden at skrive.
- Rollback peger profilen eller system global tilbage på det forrige certifikat, kun mens den stadig peger på det, deploy satte, og kun når tjenesten svarede før og er brudt nu. Ellers ændres intet.
- Fjernelse sletter kun grupper og certifikater, pakken selv har oprettet, når intet længere bruger dem, og læser bagefter, at de er væk. Afviser FortiADC en sletning, bliver objektet, og resultatet nævner det.
- Forbindelsen til FortiADC verificeres som standard mod systemets trust store, et CA-bundle eller et fingeraftryk i MANAGEMENT_TLS_PIN_SHA256. Efter skift af management-certifikatet accepterer kørslen præcis det nye certifikat, og med pin oplyser resultatet det nye fingeraftryk, som pinningen skal opdateres til.
- Når appliancen når den virtual server gennem NAT, angives adresse, port og servernavn til kontrollen i FORTIADC_SERVICE_HOST, FORTIADC_SERVICE_PORT og FORTIADC_SERVICE_SNI.
- I et HA-cluster ændrer pakken den enhed, den forbinder til, og certifikater og nøgler når de øvrige medlemmer gennem FortiADC's HA-synkronisering fra Configuration Source. Fortinet dokumenterer intet REST-kald, der viser, at et medlem har fået ændringen, og pakken kalder ikke noget, så resultatet advarer om de øvrige medlemmer. Forbind pakken til Configuration Source.
- Fortinet dokumenterer ingen gem-kommando i FortiADC's REST API og beskriver ikke, hvornår en REST-ændring gemmes; pakken kører ingen. Pakken læser hver ændring tilbage i en ny forespørgsel. FortiADC kan skrive API-kald i sine egne logs, og pakken slår ikke logningen fra.
- Discovery finder FortiADC's version, VDOMs, HA-tilstand, management-certifikat, lokale certifikater, certificate groups, intermediate CA groups, client SSL profiles og virtual servers, og hvilke af dem og management-certifikatet der kan fornys.