Crear e instalar certificados
El certificado de la interfaz web mediante CSR y los certificados del SBC de Teams de Let's Encrypt.
Parte 1 · Interfaz web
Certificado web: información general
El certificado web protege el HTTPS de la interfaz de administración, los portales y el Manager. Hasta que active su propio certificado, Traefik usa su propio certificado autofirmado.
EasyUC genera la clave privada por sí mismo y la clave nunca sale del clúster. Por eso se crea una solicitud de firma de certificado (CSR) en el Manager, se hace firmar por la CA y después se carga el certificado.
Configurar el certificado web
-
Cree la CSR
Abra la sección de certificado SSL en el Manager. Introduzca país, provincia o estado, ciudad, organización, nombre común y dirección de correo electrónico, además de las entradas SAN. EasyUC genera una clave RSA de 4096 bits.
-
Haga firmar la CSR
Envíe la CSR a su CA, ya sea una PKI interna o una CA pública.
-
Cargue el certificado
Cargue el certificado firmado en formato PEM o DER, junto con los certificados de la CA y los intermedios.
-
Active el certificado
EasyUC comprueba que el certificado coincide con la clave y ordena la cadena. Si la cadena está incompleta, se muestra una advertencia. A continuación, el certificado se aplica a todas las rutas web.
Sugerencia
Agregue como SAN cada nombre de host y cada dirección IP con los que EasyUC deba estar accesible. EasyUC reconoce en cada entrada si se trata de un nombre DNS o de una dirección IP. Como no hay IP virtual compartida, el certificado de un clúster también debe incluir los nombres a los que cambiaría tras un fallo; consulte Redundancia.
Advertencia
No se puede importar una clave privada existente ni un archivo PFX/PKCS#12. El certificado debe emitirse para la CSR creada en EasyUC.
Renovar el certificado web
El Manager muestra la validez restante. Recomendamos renovar cuando queden menos de 30 días.
El certificado web no se renueva automáticamente. Repita los pasos: crear la CSR, hacerla firmar, cargar el certificado y activarlo.
Parte 2 · SBC de Teams
Certificados del SBC de Teams: información general
Para Direct Routing, cada tenant de Teams necesita un certificado público para el SBC. EasyUC lo obtiene de Let's Encrypt mediante el desafío DNS-01. Para ello, el puerto 80 no necesita estar accesible desde Internet.
El SAN es el FQDN del SBC del tenant, por ejemplo sbc.example.com. El dominio debe estar verificado en el tenant de Teams.
El SBC usa TLS 1.2 con TLS mutuo frente a las CA raíz de Microsoft. El certificado intermedio forma parte de la cadena.
Emitir el certificado del SBC
El desafío DNS-01 requiere un registro TXT en la zona DNS del FQDN del SBC. Puede crearlo manualmente o dejar que EasyUC lo cree a través de Cloudflare.
Manualmente
-
EasyUC muestra el registro TXT
_acme-challenge.<fqdn>y su valor. -
Cree el registro en su proveedor de DNS.
-
Confirme en EasyUC. EasyUC comprueba el registro y emite el certificado.
_acme-challenge.sbc.example.com. TXT "<value shown in EasyUC>"Automáticamente con Cloudflare
Guarde un token de API de Cloudflare. EasyUC crea entonces el registro TXT por sí mismo y lo elimina después.
Esto requiere tráfico saliente TCP 443 desde EasyUC hacia api.cloudflare.com.
Renovación y recarga
- EasyUC comprueba cada día a las 03:30 si corresponde una renovación.
- Con Cloudflare, EasyUC renueva el certificado automáticamente cuando quedan 30 días de validez o menos.
- Sin Cloudflare, la interfaz de administración indica que corresponde la renovación. En ese caso, repita el paso manual del registro TXT.
- La validez, con fecha de caducidad y días restantes, se muestra para cada tenant.
El SBC carga automáticamente un certificado nuevo. Reinicia el perfil SIP del tenant en cuanto no hay ninguna llamada activa, como máximo al cabo de 30 minutos.