Le certificat du serveur Web utilisé sur un RangeeOS (avec ou sans TCMS) peut être remplacé si nécessaire. Deux méthodes sont généralement possibles :

1. Un fichier de demande de certificat peut être utilisé sur le client et signé en externe
2. Un certificat entièrement généré en externe peut être utilisé

Dans les deux cas, le certificat doit ensuite être converti dans le format approprié (codage Base64).

Créer un fichier de demande de certificat

1. Connectez-vous en tant qu’utilisateur "admin" sur le client via un terminal  ( STRG + SHIFT + ALT + T )  ou via une connexion SSH sur RangeeOS.
2. Adaptez les paramètres de la commande suivante selon vos besoins et exécutez-la sur l’appareil:openssl req -newkey rsa:4096 -sha256 -keyout key.pem -out req.pem \
   -subj "/C=DE/ST=Bundesland/L=Stadt/O=Einrichtung/OU=Abteilung/OU=Team/CN=<FQDN>" \
   -addext "subjectAltName = DNS:<DNS>,IP:<IP>"
   • C/ST/L/O/OU
     Optionnel et librement sélectionnable
   • <FQDN>:
     der Hostname unter dem das RangeeOS später angesprochen werden soll
   • <DNS>:
     Le nom d’hôte sous lequel RangeeOS sera ensuite accessible.
   • <IP>:
     Optionnel. Adresse IP du TCMS pour laquelle le certificat doit être valide. Si l’adresse IP ne doit pas faire partie du certificat, supprimez la section correspondante.
   • Exemple d’une commande complète :
     openssl req -newkey rsa:4096 -sha256 -keyout key.pem -out req.pem \
     -subj "/C=DE/ST=NRW/L=Aachen/O=Rangee/OU=Support/OU=Zertifikatstest/CN=tc-b0416f05c363.rangee.local" \
     -addext "subjectAltName = DNS:tc-b0416f05c363.rangee.local,IP:192.168.50.29"
3. openssl req -newkey rsa:4096 -sha256 -keyout key.pem -out req.pem \
   -subj "/C=DE/ST=Bundesland/L=Stadt/O=Einrichtung/OU=Abteilung/OU=Team/CN=<FQDN>" \
   -addext "subjectAltName = DNS:<DNS>,IP:<IP>"
4. Après avoir soumis la commande, attribuez un mot de passe à votre clé privée (au moins 4 caractères).
5. Comme la clé privée du certificat serveur est nécessaire sans mot de passe, vous devez ensuite supprimer le mot de passe avec cette commande :
   openssl rsa -in key.pem -out key.pem
6. Connectez-vous au client avec "WinSCP" en utilisant les identifiants "admin" et téléchargez les fichiers de demande "/tmp/req.pem" und "/tmp/key.pem" herunter.
7. Soumettez le fichier req.pem à une autorité de certification de votre choix. Si l’option est disponible, faites générer directement un certificat codé en Base64. Une fois le certificat obtenu, passez à l’étape suivante.

Importation d’un certificat

Pour importer le certificat, vous devez disposer à la fois de la Private Key et du certificat serveur émis, tous deux codés en Base64 :

• Si vous disposez des deux sous la forme d’un fichier PFX combiné, vous devez d’abord séparer les deux composants. Pour cela, vous pouvez par exemple utiliser les commandes suivantes :
  sudo openssl pkcs12 -in certname.pfx -nocerts -out key.pem -nodes # Exportiert den Private Key
  sudo openssl pkcs12 -in certname.pfx -nokeys -out cert.pem # Exportiert das Zertifikat
  openssl rsa -in key.pem -out key.pem # entfernt das Passwort vom Private Key
  
• Vérifiez que votre certificat est au format Base64. Pour cela, ouvrez-le avec un éditeur de texte quelconque. Le certificat doit être présenté sous cette forme :
  -----BEGIN CERTIFICATE-----
  […]
  -----END CERTIFICATE-----
  Si le certificat n’est pas codé de cette manière, vous pouvez le convertir avec cette commande :
• openssl x509 -inform der -in certname.cer -out certname.pem

Si vous disposez du certificat et de la Private Key sous la forme appropriée, écrivez le contenu des deux certificats l’un sous l’autre dans un fichier "Server.pem" et enregistrez-le :
-----BEGIN RSA PRIVATE KEY-----
[…]
-----END RSA PRIVATE KEY-----
-----BEGIN CERTIFICATE-----
[…]
-----END CERTIFICATE-----

Téléverser  le certificat

Vous pouvez téléverser le certificat final via la Kommbox sous  Remote-Administration -> "Gerätezertifikat hochladen" . Ensuite, un redémarrage de RangeeOS est nécessaire.

Après le redémarrage, le certificat sera affiché comme valide dans le navigateur.

Gestion des erreurs

Si le certificat a été importé avec succès mais que la Kommbox ne démarre plus par la suite, vous pouvez générer un nouveau certificat auto-signé via le terminal ou SSH.

Lire les messages d’erreur

Connectez-vous sur le client et exécutez cette commande :

Notez la sortie et envoyez-la à notre support

Regénérer le certificat

Pour régénérer le certificat, exécutez cette commande :

Après un nouveau redémarrage, la Kommbox est de nouveau accessible.