Como configurar o NetScaler

Este documento fornece informações sobre como configurar o perfil de publicação NetScaler para que seja possível instalar e publicar certificados no servidor.

Durante a configuração do perfil de publicação NetScaler, é possível definir o caminho para a gravação do certificado, juntamente com a possibilidade de atrelar o certificado com servidores virtuais, grupos de serviços, e serviços. Se o dispositivo NetScaler tiver um Network Connector configurado, o perfil envia todas as chamadas da API NITRO através dele.

Também é possível configurar as opções:

• SNI: permite a utilização de múltiplos certificados SSL no mesmo endereço IP.
• OCSP: realiza validações de certificados em tempo real que verifica o status da revogação do certificado.
• CRL: fornece uma lista de certificados revogados, que é baixada e armazenada em cache local, sendo atualizada periodicamente.

Requisitos

O dispositivo precisa ter uma conectividade HTTPS para a API NITRO (/nitro/v1/). A porta padrão é 443. Sem ela, a publicação falha com o erro Equipment without HTTPS connectivity.

Configurar o NetScaler

Para configurar o NetScaler, veja os passos a seguir:

1. Na Segura™ Platform, na barra de navegação, passe o mouse sobre o Menu de produtos e selecione Certificate Manager.
2. No menu lateral, selecione Publicações > Perfis de publicação.
3. Clique no botão de ações e selecione NetScaler.
4. Na aba Configurações, preencha os seguintes campos:
   1. No campo Nome do perfil *, insira o nome do perfil.
   2. No campo Username da credencial, insira o nome da credencial.
   3. Opcional: Marque a opção Utilizar uma credencial cadastrada para acessar todos os dispositivos, e, no campo Credencial de acesso cadastrada do sistema, selecione uma credencial de acesso cadastrada na Segura™ Platform.
5. Clique em Continuar.
6. Na aba NetScaler, preencha os seguintes campos:
   1. No campo Path para gravação do certificado, insira o caminho do repositório onde o certificado será gravado.
   2. Entre os serviços SSL apresentados (Servidores virtuais, Grupos de serviços, e Serviços) adicione pelo menos um serviço para que o certificado seja atrelado.
      Info

      • O campo Nome das seções Servidores virtuais, Grupos de serviços e Serviços precisa ter o mesmo nome cadastrado no NetScaler.
      • Se ambas as opções OCSP e CRL estiverem ativas, o OCSP terá prioridade.
      • Se a opção OCSP estiver ativa, o SNI não irá funcionar.
7. Clique em Continuar.
8. Na aba Dispositivos, selecione o servidor NetScaler.
   1. O dispositivo deve ter sido cadastrado na Segura® Platform. Para rotear a publicação através de um Network Connector, configure um no dispositivo antes de publicar. O Network Connector configurado no dispositivo sempre tem precedência sobre um Network Connector global configurado para o ambiente.
   2. A coluna Network Connector mostra Sim ou Não, dependendo se o dispositivo tem seu próprio agente Network Connector configurado.
9. Na aba Revisão, verifique todas as informações inseridas nas abas anteriores e clique em Salvar.

Verifique seus resultados

Publique um certificado através do perfil. Se o dispositivo tiver um Network Connector configurado, todas as chamadas da API NITRO passam por ele. O log de execução registra qual Network Connector tratou a conexão, no formato Network Connector: senhasegura self-managed - <nome do connector>:<porta>. Se o dispositivo não tiver um Network Connector próprio, o perfil recorre ao Network Connector global configurado para o ambiente.

Depois de publicar, o Segura® verifica a instalação: ele compara o hash SHA-256 do arquivo do certkey no NetScaler com o certificado publicado. Se forem diferentes, a publicação falha.

Se a publicação não conseguir se conectar ao NetScaler, confira se o agente do Network Connector do dispositivo está online e se o NetScaler responde na porta da conectividade HTTPS do dispositivo.

Nomes do certificado no NetScaler

• O nome do certkey é derivado do nome comum (CN) do certificado: em minúsculas, com . substituído por _ e * substituído por wildcard. Por exemplo, *.example.com se torna wildcard_example_com.
• Quando o certificado é renovado, o Segura® atualiza o certkey existente, e os bindings continuam.
• Os arquivos do certificado se chamam <cn>_<data de validade>_<hash>, em que <hash> são os 8 primeiros caracteres hexadecimais do fingerprint SHA-256 do certificado.
• O Segura® identifica o certificado pelo fingerprint, não pelo número de série.