Eigenes Zertifikat
Ein vorhandenes Zertifikat hochladen oder eines von Ihrer internen Zertifizierungsstelle signieren lassen.
Sie haben zwei Möglichkeiten:
- Zertifikat hochladen – Sie haben bereits Zertifikat und privaten Schlüssel, z. B. von einer kommerziellen CA.
- Certificate from your own CA – VexCore HV erzeugt Schlüssel und Signierungsanfrage (CSR); Ihre interne CA signiert sie. Der private Schlüssel verlässt den Server dabei nie.
Beides erfordert die Berechtigung tls.manage.
Zertifikat hochladen
Anforderungen
- Format: PEM.
- Zertifikat: das Serverzertifikat, gefolgt von den Zwischenzertifikaten. Eine falsche Reihenfolge korrigiert VexCore HV selbst.
- Privater Schlüssel: unverschlüsselt (ohne Passphrase), RSA mit mindestens 2048 Bit oder EC P-256 / P-384.
- Namen: Das Zertifikat braucht Subject Alternative Names (SAN). Ohne SAN akzeptieren Browser es für keinen Namen.
- Es darf nicht abgelaufen, noch nicht gültig oder als CA-Zertifikat markiert sein.
- Dateien bis 64 KB.
Schritte
Öffnen Sie Settings → HTTPS und scrollen Sie zu Upload a certificate.
Fügen Sie unter Certificate (+ chain) das Zertifikat mit Kette und unter Private key den Schlüssel ein – oder laden Sie die Dateien mit Load file….
Klicken Sie auf Check. VexCore HV prüft Zertifikat, Kette und Schlüssel, ohne etwas zu speichern, und zeigt die Details. Hinweise erscheinen z. B., wenn das Zertifikat die Adresse nicht abdeckt, unter der Sie VexCore HV gerade aufrufen, oder in weniger als 14 Tagen abläuft.
Klicken Sie auf Use this certificate und bestätigen Sie. VexCore HV speichert den Schlüssel nur auf dem Server (Dateirechte 0600), zeigt ihn nie wieder an und stellt die Quelle auf Uploaded um. Die Seite lädt neu.
https-upload.pngEin hochgeladenes Zertifikat erneuern Sie selbst, indem Sie vor Ablauf ein neues hochladen. VexCore HV warnt 14 Tage vorher – siehe Erneuerung.
Mit Delete uploaded certificate entfernen Sie es wieder. Ist es gerade in Gebrauch, wechselt die Quelle auf Automatic.
Alternativ in Proxmox hochladen
Ein Zertifikat, das Sie in Proxmox unter Node → System → Certificates hochladen, liefert VexCore HV in der Quelle Automatic ebenfalls aus – dann gilt es auch für Port 8006.
Zertifikat von Ihrer eigenen CA
Für Netzwerke mit interner Zertifizierungsstelle (Active Directory Certificate Services, step-ca, …), deren Root-Zertifikat Ihre Geräte bereits vertrauen. Auf den Geräten muss nichts installiert werden.
Signierungsanfrage erstellen
Unter Settings → HTTPS → Certificate from your own CA:
- Host name (common name): der Hauptname, z. B.
vexcore.firma.de. - Organization (optional): z. B.
Firma GmbH. - More names or IP addresses (optional): weitere Namen oder IP-Adressen, durch Leerzeichen oder Kommas getrennt, z. B.
vexcore 192.0.2.10. Platzhalter wie*.firma.desind erlaubt; insgesamt höchstens 20 Namen.
Klicken Sie auf Create signing request. VexCore HV erzeugt einen RSA-2048-Schlüssel, der auf dem Server bleibt, und die Anfrage.
Von der CA signieren lassen
Kopieren Sie die Anfrage mit Copy oder laden Sie sie mit Download .csr herunter und reichen Sie sie bei Ihrer CA ein – in AD CS z. B. mit der Vorlage Web Server.
Signiertes Zertifikat einfügen
Fügen Sie das signierte Zertifikat (PEM, mit Zwischenzertifikaten, falls vorhanden) in das Feld darunter ein und klicken Sie auf Check. VexCore HV prüft, ob es zur Anfrage passt.
Verwenden
Klicken Sie auf Use this certificate. Ab jetzt wird es wie ein hochgeladenes Zertifikat ausgeliefert. Die Seite lädt neu.
https-csr.pngSolange eine Anfrage offen ist, können Sie sie mit Discard request verwerfen. Danach kann ein dafür signiertes Zertifikat nicht mehr verwendet werden.
Sie erneuern das Zertifikat selbst, rechtzeitig vor Ablauf: neue Anfrage erstellen, signieren lassen, einfügen. VexCore HV warnt 14 Tage vorher.