Własny certyfikat, czyli keystore

Domyślnie unifi generuje własny certyfikat dla usługi webowej (wg forum użytkowników: apache tomcat). Certyfikat jest przechowywany w pliku keystore: 

/usr/local/share/java/unifi/data/keystore

UWAGA!!! Ten plik musi spełniać warunki:

Jeżeli te warunki nie będą spełnione (a zwłaszcza zawartość), to przy uruchamianiu usług plik keystore zostanie nadpisany certyfikatem self-signed.

Wygenerowanie certyfikatu

Certyfikat musi spełniać jeden warunek: w SANach muszą być wskazane wszystkie nazwy przypisane nazwy (CN nie ma już znaczenia). Tak więc po poprawnych wygenerowaniu certyfikatu (za pomocą make z własnego repozytorium skryptów należy wygenerować certyfikat PKCS12. Ale ten PKCS12 musi w sobie zabierać całą ścieżkę certyfikacji. Zrobiłem to następująco: 

cat unify.wtp3.local.signed.pem x4.ca.bsdserwis.com.issuer.crt.pem x4.ca.bsdserwis.com.root.crt.pem > unify.wtp3.local.chained.pem

A następnie wygenerować już PKCS12: 

/usr/local/bin/openssl pkcs12 -export -in /usr/local/etc/ssl/certs/unify.wtp3.local.chained.pem -inkey /usr/local/etc/ssl/private/unify.wtp3.local.key.pem -out /usr/local/etc/ssl//unify.wtp3.local.signed+key.p12

Instalacja certyfikatu w keystore

Po wygenerowaniu certyfikatu należy go zainstalować w keystore. Zgodnie z informacjami znalezionymi w sieci internet, dobrym pomysłem jest zmiana nazwy aktualnego pliku keystore: 

mv /usr/local/share/java/unifi/data/keystore /usr/local/share/java/unifi/data/keystore.bckp

A następnie utworzenie nowego. Aby nie bylo problemu z uprawnieniami do pliku można to wykonać jako użytkownik unifi: 

su -m unifi

keytool -importkeystore -srckeystore /tmp/unify.wtp3.local.signed+key.p12 -srcstoretype PKCS12 -destkeystore /usr/local/share/java/unifi/data/keystore -deststoretype PKCS12 -destalias unifi -alias 1 -storepass aircontrolenterprise

chmod 0600 /usr/local/share/java/unifi/data/keystore

exit

Uruchomienie usługi unifi

service unifi start

I po uruchomieniu WebUI przez przeglądarkę nie ma problemu, że certyfikat jest podejrzany :-)

{i}  (c) 2004 - 2026 BSD Serwis Krzysztof Stryjek. W przypadku błędów, poprawek proszę kontaktować się z administratorem wiki.