pfSense, güvenlik duvarının yönetim arayüzünü (WebGUI) ve diğer hizmetleri sertifika yöneticisi üzerinden korur. Varsayılan olarak kendinden imzalı bir sertifika gelir; bu sertifika tarayıcıda uyarı verdiği için güvenilir bir CA sertifikasıyla değiştirilir.
Hazırlık
- Yönetim arayüzüne erişeceğiniz bir alan adı (örneğin fw.sirket.com) ve bu adın güvenlik duvarının IP adresine çözülmesi
- CA'dan alınan sertifika, ara sertifikalar ve özel anahtar (PEM)
- Yönetim arayüzünde bir oturum; yanlış ayarda erişimi kaybetmemek için konsol veya yedek erişim
Adımlar
- Ara sertifikayı ekleyin: System > Certificate Manager > CAs bölümünde Add ile ara CA sertifikasını PEM olarak yapıştırın.
- Sunucu sertifikasını aktarın: Certificates sekmesinde Add/Sign, yöntem olarak Import an existing Certificate seçin. Sertifika verisi alanına sertifikayı, Private key alanına anahtarı yapıştırın ve bir açıklayıcı ad verin.
- WebGUI'ye atayın: System > Advanced > Admin Access sayfasında SSL/TLS Certificate listesinden yeni sertifikayı seçip kaydedin.
- Diğer hizmetler: OpenVPN, captive portal veya HAProxy paketi gibi hizmetler kendi ayarlarında aynı sertifikayı seçer.
Kayıttan sonra webConfigurator yeniden başlar ve tarayıcı oturumu kısa süre kopabilir.
Doğrulama
- Arayüze IP yerine alan adıyla bağlanın; sertifika alan adıyla eşleşmezse uyarı devam eder.
- Tarayıcıda sertifika ayrıntılarından zincirin eksiksiz olduğunu görün.
- Komut satırından:
openssl s_client -connect fw.sirket.com:443 -servername fw.sirket.com
Sık hatalar
- Anahtar ile sertifikanın eşleşmemesi: pfSense içe aktarmayı reddeder veya hata verir.
- Ara sertifikanın eklenmemesi: bazı istemcilerde zincir hatası oluşur.
- Alan adı yönetim IP'sine çözülmüyor: yerel DNS Resolver'da host override tanımlayın.
Yedekleme ve güvenlik
Sertifikayı değiştirmeden önce Diagnostics > Backup & Restore bölümünden yapılandırma yedeği alın. Yönetim arayüzünü internete açmak yerine yalnızca VPN veya yönetim ağından erişilebilir tutmanız güvenlik açısından daha doğrudur. Sertifika süresi dolduğunda arayüz çalışmaya devam eder ancak tarayıcılar uyarı gösterir; bu yüzden bitiş tarihini önceden takvime yazın.
Dahili bir alan adı yerine genel bir alan adı kullanırsanız herkese açık CA sertifikası alabilirsiniz; ürünler için SSL sertifikaları sayfasına, doğrulama için SSL kontrol aracına bakın.