Utiliser un certificat auto-signé unique sur le routeur

Vigor Router permet à l'administrateur de créer et signer un certificat personnalisé pour les connexions SSL VPN et HTTPS. En raison des préoccupations en matière de sécurité, il est fortement recommandé d'avoir une clé privée unique sur chaque appareil pour les certificats auto-signés SSL. Cet article montre comment générer un certificat auto-signé personnalisé puis remplacer le certificat par défaut sur Vigor Router.

DrayOS 5

Créer la CA racine (root CA)

1. Assurez-vous que les paramètres d'heure du routeur sont corrects. Nous recommandons fortement d'utiliser des paramètres d'heure qui correspondent à ceux du côté client.

2. Allez dans Certificate Management >> Trusted CA Certificate, et cliquez sur Create Root CA.

3. Entrez l'identité de votre organisation dans les sujets de la Root CA comme indiqué ci-dessous, puis cliquez sur Generate.

4. La CA Racine sera affichée avec un statut "OK". (NOTE : Un routeur ne peut avoir qu'une seule CA Racine. Pour créer une nouvelle CA Racine, vous devrez supprimer l'ancienne d'abord.)

Signer un certificat local avec la CA racine

1. Allez dans Certificate Management >> Local Certificate, et générez une demande de certificat.

2. Entrez à nouveau l'identité de votre organisation pour les sujets, puis cliquez sur Generate.

3. Il y aura une nouvelle demande de certificat local sur la liste avec un statut Requesting. Cliquez sur Sign pour signer le certificat local.

4. Définissez la date de Validité, puis cliquez sur Sign.

5. Le statut du certificat local changera à "OK".

Remplacer le certificat par défaut

1. Allez dans Certificate Management >> Local Services List, et sélectionnez le nouveau certificat créé au pas 6 pour Default Certificate.

2. Dans le navigateur, vous devriez voir que le certificat a changé en celui que vous avez configuré. Maintenant, le routeur utilise un certificat auto-signé personnalisé.

Importer la CA racine sur l'ordinateur

Si le client VPN nécessite une authentification par certificat serveur, n'oubliez pas d'importer la CA Racine du routeur sur l'ordinateur.

1. Allez dans Certificate Management >> Trusted CA Certificate. Exportez le certificat.

2. Ouvrez ce certificat et installez-le sur l'ordinateur.

---

Vérifier l'heure système

Assurez-vous que l'heure du système du routeur est précise en naviguant vers System Maintenance / Device Settings.

Créer une CA racine (root CA)

1. Naviguez vers Configuration / Certificates / Trusted CA et cliquez sur Create.

2. Entrez les détails d’identité de votre organisation dans les champs Root CA (par exemple, Nom de l'organisation, Localisation, etc.), puis cliquez sur Apply.

3. Attendez quelques secondes jusqu'à ce que la CA Racine soit créée avec succès.

Générer un certificat local

1. Naviguez vers Configuration / Certificates / Local Certificates et cliquez sur +Add.

2. Fournissez un nom de Certificat.

3. Sélectionnez Generate CSR comme méthode.

4. Remplissez les détails du certificat.

5. Cliquez sur Apply.

6. Attendez quelques secondes pour que la demande de certificat local soit générée. Elle apparaîtra dans l'état Requesting.

Signer le certificat

1. Cliquez sur Sign pour signer la demande de certificat en utilisant la CA Racine créée précédemment.

2. Sélectionnez la période de Validité souhaitée pour le certificat et cliquez sur Apply.

Vérifier l'état du certificat

Attendez quelques secondes. Une fois que le statut change à Valid, le certificat local est généré avec succès.

Utiliser le certificat auto-signé

Le certificat auto-signé peut maintenant être utilisé pour les services HTTPS, TR-069 ou IPsec VPN du routeur.

7-1. Exporter la CA Racine du routeur

1. Naviguez vers Configuration > Certificates > Trusted CA sur le routeur.

2. Cliquez sur Export pour sauvegarder le fichier de CA Racine sur votre ordinateur local.

7-2. Importer la CA Racine sur l'ordinateur client

Pour Windows :

1. Sur l'ordinateur client, ouvrez le Gestionnaire de certificats : appuyez sur Win + R, tapez certmgr.msc et appuyez sur Enter.

2. Dans le Gestionnaire de certificats, accédez à Trusted Root Certification Authorities > Certificates.

3. Faites un clic droit dans la liste des Certificates et choisissez All Tasks > Import.

4. Suivez l'assistant pour sélectionner et importer le fichier CA Racine.

Pour macOS :

1. Ouvrez Keychain Access depuis Applications > Utilities.

2. Glissez-déposez le certificat exporté dans la chaîne de confiance System.

3. Double-cliquez sur le certificat, développez la section Trust et définissez When using this certificate à Always Trust.

Vérifier la confiance

1. Assurez-vous que l'importation CA Racine est listée dans les Autorités de certification racines de confiance (Windows) ou System Keychain (macOS).

2. L'ordinateur client utilisera maintenant le certificat local du routeur pour des connexions HTTPS sécurisées ou peut créer un IKEv2 EAP VPN en utilisant le certificat auto-signé.