NetWorker. Импорт или замена сертификатов, подписанных центром сертификации, для NMC

В этих инструкциях описывается, как заменить самозаверяющий сертификат NetWorker по умолчанию на сертификат, подписанный CA, для NetWorker Management Console (NMC). В этой статье базы знаний представлены инструкции как для серверов NMC Windows, так и для серверов NMC Linux.

Процесс замены самозаверяющих сертификатов службы аутентификации сервера NetWorker (AUTHC) и веб-интерфейса пользователя NetWorker (NWUI) на сертификаты, подписанные CA, подробно описан в следующих статьях, посвященных конкретным операционным системам:

• NetWorker. Импорт или замена сертификатов, подписанных центром сертификации, для «AUTHC» и «NWUI» (Linux)
• NetWorker. Импорт или замена сертификатов, подписанных центром сертификации, для «AUTHC» и «NWUI» (Windows)

Связанные сертификаты:

• <server>.csr. Запрос подписи сертификата сервера NetWorker Management Console

• <server>.key. Закрытый ключ сервера NetWorker Management Console

• <server>.crt. Сертификат сервера NetWorker Management Console, подписанный CA

• <CA>.crt. Корневой сертификат CA

• <ICA>.crt. Промежуточный сертификат CA (опционально, если он доступен)

Прежде чем приступить, обратите внимание на следующее.

В этом процессе используется утилита OpenSSL. Эта утилита предоставляется по умолчанию в операционных системах Linux, однако не входит в состав систем Windows. Обратитесь к системному администратору по поводу установки OpenSSL. Требуемая версия OpenSSL различается в зависимости от установленной версии NetWorker.

• Для NetWorker 19.9–19.11 требуется openssl версии 1.1.1n 
• NetWorker 19.12.0.0 (только Linux) поддерживает openssl версии 3.0.14
• NetWorker 19.12.0.2 (только для Windows) поддерживает OpenSSL версии 3.0.14.

Версию OpenSSL можно определить следующим образом:

Linux:

# openssl version

Windows:

1. В Проводнике Windows перейдите в папку, где находится openssl.exe. Этот путь может отличаться в зависимости от способа установки OpenSSL.
2. Откройте файл openssl.exe и перейдите на вкладку Details. В полеProduct Version указана версия OpenSSL:

Другой вариант: если путь к файлу openssl.exe является частью системной переменной PATH , можно выполнить команду «openssl version» из командной строки с правами администратора. Если каталог, содержащий openssl.exe не является частью системы PATH, измените каталог (cd) на каталог, содержащий openssl.exe.

Создайте закрытый ключ и файл запроса на заверение сертификата (CSR) для предоставления вашему CA.

1. На сервере NMC используйте утилиту командной строки OpenSSL, чтобы создать файл закрытого ключа сервера NetWorker (<server>.key) и файл CSR (<server>.csr).
   Linux:

# openssl req -new -newkey rsa:4096 -nodes -out /tmp/<server>.csr -keyout /tmp/<server>.key

Windows:

set openssl="<Full system path to the openssl.exe file>"
%openssl% req -new -newkey rsa:4096 -nodes -out "C:\tmp\<server>.csr" -keyout "C:\tmp\<server>.key"

2. Отправьте файл CSR (<server>.csr) в CA для создания файла сертификата, подписанного CA (<server>.crt). CA должен предоставить файл сертификата, подписанный CA (<server>.crt), корневой сертификат (<CA>.crt), а также любые промежуточные сертификаты CA<ICA>.crt).

Серверы Linux NetWorker Management Console (NMC):

1. Получите подписанные CA сертификаты в отдельных файлах ключей или в одном файле в формате PFX.
2. Если подписанные CA сертификаты находятся в одном файле PFX, закрытый ключ и подписанный CA сертификат можно извлечь, используя инструмент OpenSSL (в Windows OpenSSL может отсутствовать, но его можно установить отдельно).

# openssl pkcs12 -in <file>.pfx -out <server>.key -nodes -nocerts

# openssl pkcs12 -in <file>.pfx -out <server>.crt -nokeys

1. 1. 2. Проверьте целостность server.key и server.crt.

# openssl pkey -in <server>.key -pubout -outform pem | sha256sum

# openssl x509 -in <server>.crt -pubkey -noout -outform pem | sha256sum

1. 1. 3.  Преобразуйте закрытый ключ, сертификат сервера, подписанный CA, корневой CA (и любые промежуточные сертификаты) в формат PEM.

# openssl rsa -in <server>.key -outform pem -out server.key.pem

# openssl x509 -in <server>.crt -outform pem -out server.crt.pem

# openssl x509 -in CA.crt -outform pem -out CA.crt.pem

# openssl x509 -in ICA.crt -outform pem -out ICA.crt.pem

# cat server.key.pem CA.crt.pem ICA.crt.pem server.crt.pem > cakey.pem

3. На сервере NMC выключите службу gst :

# systemctl stop gst

4. Создайте копию соответствующего файла cakey.pem , затем замените файл по умолчанию на файл, созданный на шаге 2, D.

# cp /opt/lgtonmc/etc/cakey.pem /opt/lgtonmc/etc/cakey.pem_orig
# cp cakey.pem /opt/lgtonmc/etc/cakey.pem

5. Создайте копию файлов server.crt и server.key с сервера NMC, затем замените оригинальные файлы подписанными server.crt и server.key.

# cp /opt/lgtonmc/apache/conf/server.crt /opt/lgtonmc/apache/conf/server.crt_orig
# cp <server>.crt  /opt/lgtonmc/apache/conf/server.crt
# cp /opt/lgtonmc/apache/conf/server.key /opt/lgtonmc/apache/conf/server.key_orig
# cp <server>.key /opt/lgtonmc/apache/conf/server.key

6. Запустите службу сервера NMC gst :

# systemctl start gst

7. Следите за тем, как /opt/lgtonmc/logs/gstd.raw за любые ошибки.

NetWorker. Как использовать nsr_render_log для подготовки файла журнала .raw

Проверка:

Во время работы службы сервера NMC gst Во время запуска службы выполните следующие действия на сервере NMC:

openssl s_client -connect localhost:9001 -showcerts 2>/dev/null </dev/null
openssl s_client -connect localhost:9000 -showcerts 2>/dev/null </dev/null

Пример:

nve:~ # openssl s_client -connect localhost:9001 -showcerts 2>/dev/null </dev/null
CONNECTED(00000003)
---
Certificate chain
 0 s:/C=CA/ST=Ontario/L=Toronto/O=Dell Technologies/OU=DPD/CN=nve.networker.lan
   i:/C=CA/ST=Ontario/L=Toronto/O=Dell Technologies/OU=DPD/CN=dc.networker.lan
...
...

nve:~ # openssl s_client -connect localhost:9000 -showcerts 2>/dev/null </dev/null
CONNECTED(00000003)
---
Certificate chain
 0 s:/C=CA/ST=Ontario/L=Toronto/O=Dell Technologies/OU=DPD/CN=nve.networker.lan
   i:/C=CA/ST=Ontario/L=Toronto/O=Dell Technologies/OU=DPD/CN=dc.networker.lan
...
...
nve:~ #

Серверы Windows NetWorker Management Console (NMC):

1. Получите подписанные CA сертификаты в отдельных файлах ключей или в одном файле в формате PFX.
2. Если подписанные CA сертификаты находятся в одном файле PFX, закрытый ключ и подписанный CA сертификат можно извлечь, используя инструмент OpenSSL (в Windows OpenSSL обычно отсутствует, но его можно установить отдельно).

%openssl% pkcs12 -in <file>.pfx -out <server>.key -nodes -nocerts

%openssl% pkcs12 -in <file>.pfx -out <server>.crt -nokeys

1. 1. 2. Проверьте целостность server.key и server.crt.

%openssl% pkey -in <server>.key -pubout -outform pem | %openssl% dgst -sha256

%openssl% x509 -in <server>.crt -pubkey -noout -outform pem | %openssl% dgst -sha256

1. 1. 3. Преобразуйте закрытый ключ, сертификат сервера, подписанный CA, корневой CA (и любые промежуточные сертификаты) в формат PEM.

%openssl% rsa -in <server>.key -outform pem -out C:\tmp\server.key.pem

%openssl% x509 -in <server>.crt -outform pem -out C:\tmp\server.crt.pem

PS C:\tmp> Get-Content server.key.pem,server.crt.pem | Out-File cakey.pem -Encoding ascii

3. На сервере NMC выключите службу gst :

net stop gstd

4. Создайте копию исходного cakey.pem, а затем разместите объединенный сертификат, подписанный CA, cakey.pem вместо него:

copy "C:\Program Files\EMC NetWorker\Management\GST\etc\cakey.pem" "C:\Program Files\EMC NetWorker\Management\GST\etc\cakey.pem_orig"
copy C:\tmp\cakey.pem "C:\Program Files\EMC NetWorker\Management\GST\etc\cakey.pem"

5. Создайте копию файлов server.crt и server.key с сервера NMC, затем замените оригинальные файлы подписанными server.crt и server.key.

copy "C:\Program Files\EMC NetWorker\Management\GST\apache\conf\server.crt" "C:\Program Files\EMC NetWorker\Management\GST\apache\conf\server.crt_orig"
copy "C:\Program Files\EMC NetWorker\Management\GST\apache\conf\server.key" "C:\Program Files\EMC NetWorker\Management\GST\apache\conf\server.key_orig"
copy <server>.crt "C:\Program Files\EMC NetWorker\Management\GST\apache\conf\server.crt"
copy <server>.key "C:\Program Files\EMC NetWorker\Management\GST\apache\conf\server.key"

net start gstd

param(
    [string]$Server = "localhost",
    [int]$Port = PORT
)

$tcp = [System.Net.Sockets.TcpClient]::new()
$tcp.Connect($Server, $Port)

# Accept any certificate so we can inspect it (this is inspection only)
$ssl = [System.Net.Security.SslStream]::new(
    $tcp.GetStream(),
    $false,
    { param($sender, $cert, $chain, $errors) $true }
)

try {
    # SNI/target host is the $Server value
    $ssl.AuthenticateAsClient($Server)

    $remoteCert = [System.Security.Cryptography.X509Certificates.X509Certificate2]::new($ssl.RemoteCertificate)

    # Some keys use CNG and PublicKey.Key can be $null; fall back safely
    $keySize = try { $remoteCert.PublicKey.Key.KeySize } catch { $null }
    if (-not $keySize) { $keySize = ($remoteCert.PublicKey.EncodedKeyValue.RawData.Length * 8) }

    "=== Certificate (from $($Server):$Port) ==="
    "Subject                 : $($remoteCert.Subject)"
    "Issuer                  : $($remoteCert.Issuer)"
    "NotBefore               : $($remoteCert.NotBefore)"
    "NotAfter                : $($remoteCert.NotAfter)"
    "Public Key              : $($remoteCert.PublicKey.Oid.FriendlyName) ($keySize-bit)"
    "Signature Algorithm     : $($remoteCert.SignatureAlgorithm.FriendlyName)"
}
finally {
    $ssl.Dispose()
    $tcp.Dispose()
}

PS C:\Users\Administrator.NETWORKER> param(
>>     [string]$Server = "localhost",
>>     [int]$Port = 9001
>> )
PS C:\Users\Administrator.NETWORKER>
PS C:\Users\Administrator.NETWORKER> $tcp = [System.Net.Sockets.TcpClient]::new()
PS C:\Users\Administrator.NETWORKER> $tcp.Connect($Server, $Port)
PS C:\Users\Administrator.NETWORKER>
PS C:\Users\Administrator.NETWORKER> # Accept any certificate so we can inspect it (this is inspection only)
PS C:\Users\Administrator.NETWORKER> $ssl = [System.Net.Security.SslStream]::new(
>>     $tcp.GetStream(),
>>     $false,
>>     { param($sender, $cert, $chain, $errors) $true }
>> )
PS C:\Users\Administrator.NETWORKER>
PS C:\Users\Administrator.NETWORKER> try {
>>     # SNI/target host is the $Server value
>>     $ssl.AuthenticateAsClient($Server)
>>
>>     $remoteCert = [System.Security.Cryptography.X509Certificates.X509Certificate2]::new($ssl.RemoteCertificate)
>>
>>     # Some keys use CNG and PublicKey.Key can be $null; fall back safely
>>     $keySize = try { $remoteCert.PublicKey.Key.KeySize } catch { $null }
>>     if (-not $keySize) { $keySize = ($remoteCert.PublicKey.EncodedKeyValue.RawData.Length * 8) }
>>
>>     "=== Certificate (from $($Server):$Port) ==="
>>     "Subject                 : $($remoteCert.Subject)"
>>     "Issuer                  : $($remoteCert.Issuer)"
>>     "NotBefore               : $($remoteCert.NotBefore)"
>>     "NotAfter                : $($remoteCert.NotAfter)"
>>     "Public Key              : $($remoteCert.PublicKey.Oid.FriendlyName) ($keySize-bit)"
>>     "Signature Algorithm     : $($remoteCert.SignatureAlgorithm.FriendlyName)"
>> }
>> finally {
>>     $ssl.Dispose()
>>     $tcp.Dispose()
>> }
=== Certificate (from localhost:9001) ===
Subject                 : CN=win-srvr02.networker.lan, OU=DPD, O=Dell Technologies, L=Toronto, S=Ontario, C=CA
Issuer                  : CN=dc.networker.lan, OU=DPD, O=Dell Technologies, L=Toronto, S=Ontario, C=CA
NotBefore               : 03/09/2026 15:42:43
NotAfter                : 06/11/2028 15:42:43
Public Key              : RSA (2048-bit)
Signature Algorithm     : sha256RSA

PS C:\Users\Administrator.NETWORKER> param(
>>     [string]$Server = "localhost",
>>     [int]$Port = 9000
>> )
PS C:\Users\Administrator.NETWORKER>
PS C:\Users\Administrator.NETWORKER> $tcp = [System.Net.Sockets.TcpClient]::new()
PS C:\Users\Administrator.NETWORKER> $tcp.Connect($Server, $Port)
PS C:\Users\Administrator.NETWORKER>
PS C:\Users\Administrator.NETWORKER> # Accept any certificate so we can inspect it (this is inspection only)
PS C:\Users\Administrator.NETWORKER> $ssl = [System.Net.Security.SslStream]::new(
>>     $tcp.GetStream(),
>>     $false,
>>     { param($sender, $cert, $chain, $errors) $true }
>> )
PS C:\Users\Administrator.NETWORKER>
PS C:\Users\Administrator.NETWORKER> try {
>>     # SNI/target host is the $Server value
>>     $ssl.AuthenticateAsClient($Server)
>>
>>     $remoteCert = [System.Security.Cryptography.X509Certificates.X509Certificate2]::new($ssl.RemoteCertificate)
>>
>>     # Some keys use CNG and PublicKey.Key can be $null; fall back safely
>>     $keySize = try { $remoteCert.PublicKey.Key.KeySize } catch { $null }
>>     if (-not $keySize) { $keySize = ($remoteCert.PublicKey.EncodedKeyValue.RawData.Length * 8) }
>>
>>     "=== Certificate (from $($Server):$Port) ==="
>>     "Subject                 : $($remoteCert.Subject)"
>>     "Issuer                  : $($remoteCert.Issuer)"
>>     "NotBefore               : $($remoteCert.NotBefore)"
>>     "NotAfter                : $($remoteCert.NotAfter)"
>>     "Public Key              : $($remoteCert.PublicKey.Oid.FriendlyName) ($keySize-bit)"
>>     "Signature Algorithm     : $($remoteCert.SignatureAlgorithm.FriendlyName)"
>> }
>> finally {
>>     $ssl.Dispose()
>>     $tcp.Dispose()
>> }
=== Certificate (from localhost:9000) ===
Subject                 : CN=win-srvr02.networker.lan, OU=DPD, O=Dell Technologies, L=Toronto, S=Ontario, C=CA
Issuer                  : CN=dc.networker.lan, OU=DPD, O=Dell Technologies, L=Toronto, S=Ontario, C=CA
NotBefore               : 03/09/2026 15:42:43
NotAfter                : 06/11/2028 15:42:43
Public Key              : RSA (2048-bit)
Signature Algorithm     : sha256RSA

Даже после замены самозаверяющего сертификата NMC на сертификат, подписанный CA, во время подключения к серверу NMC из средства запуска NMC может отображаться следующее предупреждение:

Нажмите «View Certificate Details». Сведения о сертификате подтверждают, что используется сертификат, подписанный CA. 

Это предупреждение появляется, так как подписанный сертификат отсутствует в списке доверенных корневых сертификатов клиента NMC.
 

Это предупреждение можно игнорировать; при желании сертификат сервера NMC, подписанный CA, можно также импортировать в список доверенных корневых сертификатов клиента NMC:

1. Поместите сертификат сервера NMC, подписанный CA (<server>.crt) на хосте клиента NMC в папке по вашему выбору.
2. Откройте свойства сертификата, подписанного CA.
3. Нажмите Install Certificate.
4. Выберите Local Machine.
5. Выберите Place all certificates in the following store.
6. Нажмите Browse.
7. Выберите Trusted Root Certification Authorities, а затем нажмите OK.
8. Нажмите Next.
9. Нажмите Finish.
10. Появится сообщение о сбое или успешном выполнении импорта, нажмите кнопку OK.
11. В свойствах сертификата, подписанного CA, нажмите кнопку ОК.

Во время следующего запуска NMC предупреждение о безопасности не отображается.