Musterlösung Regionale Fortbildung © Zentrale Planungsgruppe Netze am Kultusministerium Baden-Württemberg Zertifikat für den Zugriff auf die Schuldaten über HTTPS Teil 1: Das Sicherheitszertifikat des Schulservers an die öffentlichen Daten anpassen. Autor: Franz Wrede

© Zentrale Planungsgruppe Netze am Kultusministerium Baden-Württemberg Musterlösung Stand: Zertifikate an PUBLIC anpassen (F.Wrede) Warnung beim Zugriff über HTTPS Problem 2 Problem 1

© Zentrale Planungsgruppe Netze am Kultusministerium Baden-Württemberg Musterlösung Stand: Zertifikate an PUBLIC anpassen (F.Wrede) Problem 1: Dem Ausstellenden vertrauen Die Zertifikate in der Musterlösung sind selbstausgestellte Zertifikate. Die Quelle muss im Browser als vertrauenswürdig eingestuft sein und das Zertifikat muss importiert sein. Dies muss jeder Benutzer bei sich zu Hause durchführen. Anleitung dazu unter:

© Zentrale Planungsgruppe Netze am Kultusministerium Baden-Württemberg Musterlösung Stand: Zertifikate an PUBLIC anpassen (F.Wrede) Problem 2: Name ist ungültig Der im Zertifikat angegebene Name kann überprüft werden. Aktion: „Zertifikat anzeigen“ anklicken

© Zentrale Planungsgruppe Netze am Kultusministerium Baden-Württemberg Musterlösung Stand: Zertifikate an PUBLIC anpassen (F.Wrede) Klarheit über den sich meldenden Server Das Zertifikat ist auf die Private Netzwerkkarte des GServer02 ausgestellt, auf der die Dienste laufen. Beim Zugriff von außen kommuniziert man aber (vermittelt durch den Bordermanager) mit der Public Karte (=öffentliche IP) der Schule.

© Zentrale Planungsgruppe Netze am Kultusministerium Baden-Württemberg Musterlösung Stand: Zertifikate an PUBLIC anpassen (F.Wrede) Maßnahmen Die Dienste benutzen folgende Zertifikate –SSL CertificateDNS-GSERVER02 –SSL CertificateIP-GSERVER02 Einfachste Korrektur: Die Zertifikate neu erzeugen gemäß Anleitung vom Supportnetz und gserver02.netware.ml-bw.de sind jeweils durch die öffentlichen Daten zu ersetzen. –Nebenwirkung: PKIDIAG stellt zwei Fehler fest, weil es die Daten der Dienste erwartet. Kosmetisches Problem. Aufwendige Korrektur: Neue Zertifikate mit den öffentlichen Daten erzeugen und in den Konfigurations-Dateien der Dienste eintragen. Sehr aufwendig, aber PKIDIAG würde nicht meckern. Beide Maßnahmen korrigieren die Warnung beim Zugriff von außen mit dem Nebeneffekt, dass jetzt die Warnung beim Zugriff von innen erfolgt. Dies ist aber weniger tragisch. –Die ZEN-Gruppe arbeitet an einer Lösung für beide Richtungen, die aber aufwendig wird.

© Zentrale Planungsgruppe Netze am Kultusministerium Baden-Württemberg Musterlösung Stand: Zertifikate an PUBLIC anpassen (F.Wrede) Vorgehen Die Anleitung zum Erneuern der Zertifikate ist auf dem Support-Netz zu finden: netz.de/nc/kundenportal/updates-und- patches/novell/zertifikate-erneuern-in-der-ml2.html Öffentliche Werte eintragen. –IP Adresse der Public-Karte beim Zertifikat –DNS Name des Schulservers beim Zertifikat. Falls das Nici Problem auftritt, Rechner einfach restaurieren oder die Lösung nach Anleitung vom Support vornehmen. Server neu starten.

© Zentrale Planungsgruppe Netze am Kultusministerium Baden-Württemberg Musterlösung Stand: Zertifikate an PUBLIC anpassen (F.Wrede) Die Anleitung zur Erneuerung der Zertifikate