ใช้ได้กับ Firmware 8.0.107 ขึ้นไป — ฟีเจอร์นี้ถูกเพิ่มในเวอร์ชัน 8.0.107
บทนำ
ตั้งแต่ Firmware 8.0.107 เป็นต้นไป Athena NGFW รองรับการอัปโหลด Custom SSL Certificate ที่ออกโดย CA ที่เชื่อถือได้ (Public CA หรือ Enterprise PKI) แทน Self-signed Certificate ของอุปกรณ์ใน 2 จุดหลัก:
- Web UI — Certificate ที่ใช้ตอน Admin Login เข้าหน้า Console
- Authentication / Captive Portal — Certificate ที่ใช้ตอนผู้ใช้ Authenticate ผ่านหน้า User Authentication Page
ช่วยให้ผ่าน Compliance Audit และไม่มี Browser Warning เวลาเข้าหน้า Console / Auth Page
ข้อกำหนดเบื้องต้น
- Firmware 8.0.107 ขึ้นไป
- ไฟล์ Certificate และ Private Key ที่ออกโดย CA ที่เชื่อถือได้
- Common Name (CN) หรือ SAN ของ Certificate ตรงกับ Domain / IP ที่ใช้เข้า NGAF
- สิทธิ์ Admin บน NGAF
ขั้นตอน A — Custom SSL Certificate สำหรับ Web UI
- ไปที่ System > General Settings > Web UI
- ในส่วน Web UI Options ค้นหา Custom SSL Certificate แล้วเปิดใช้งาน
- อัปโหลดไฟล์ Certificate และ Private Key ตามที่ระบบกำหนด (เมื่อทั้ง Certificate และ Private Key ถูกอัปโหลดครบ ระบบจะ Bind Certificate เข้ากับ Administrator Login Portal แทน Self-signed เดิม)
- คลิก Save — ค่าจะมีผลทันที (Browser อาจต้อง Refresh หรือ Login ใหม่)
ขั้นตอน B — Custom SSL Certificate สำหรับ Authentication / Captive Portal
- ไปที่ Policies > Authentication > User Authentication > Authentication Options
- เลื่อนไปที่ส่วน Others แล้วเปิด Use custom certificate for SSL authentication on the User Authentication page
- กรอก Domain Name ให้ตรงกับ CN/SAN ของ Certificate
- ที่ Custom SSL Certificate เลือก:
- Create CSR — ให้ NGAF ออก CSR เพื่อนำไปขอ Certificate จาก CA
- Upload Certificate — อัปโหลดไฟล์ Certificate + Private Key ที่มีอยู่แล้ว
- คลิก Save
การตรวจสอบ
- Web UI: Login เข้า https://<NGAF-FQDN> จาก Browser ที่ Trust CA ตัวนั้น — ต้องไม่มี Warning
- Auth Page: ทดสอบ Authenticate ผู้ใช้ผ่าน Captive Portal — หน้าเว็บต้องโหลดด้วย Certificate ใหม่ (ตรวจที่ Browser → View Certificate)
หมายเหตุ
- Certificate ของ Web UI และ Authentication เป็นคนละจุดตั้งค่า หากต้องการให้ทั้ง 2 จุดใช้ Cert เดียวกัน ต้องอัปโหลดที่ทั้ง 2 หน้า
- หาก Browser แจ้ง Certificate Mismatch ให้ตรวจว่า CN/SAN ตรงกับ FQDN ที่ใช้เข้า
ข้อคิดเห็น
0 ข้อคิดเห็น
โปรด ลงชื่อเข้าใช้ เพื่อแสดงข้อคิดเห็น