← Cloudflare One / cloudflare-one / team-and-resources / devices / user-side-certificates

Nasaďte vlastní certifikát

Zákazníci s plánem Enterprise, kteří nechtějí instalovat Certifikát Cloudflare mají možnost nahrát do Cloudflare vlastní kořenový certifikát. Tato funkce se někdy označuje jako Bring Your Own Public Key Infrastructure (BYOPKI). Gateway pak pomocí nahraného certifikátu šifruje všechny relace mezi koncovým uživatelem a Gateway, čímž zpřístupňuje všechny funkce kontroly HTTPS, které dříve vyžadovaly certifikát Cloudflare. Do účtu můžete nahrát více certifikátů, ale aktivní může být vždy jen jeden. Pro zachytávání domén pomocí certifikátů JIT a povolení blokovací stránka.

Nahrát můžete buď kořenový certifikát, nebo celý řetězec certifikátů (kořenový certifikát a mezilehlé certifikáty). Díky nahrání řetězce certifikátů stačí na zařízeních koncových uživatelů nainstalovat pouze kořenový certifikát, což může větším podnikům zjednodušit správu certifikátů.

Nahrát můžete až pět vlastních kořenových certifikátů. Pokud vaše organizace potřebuje více než pět certifikátů, obraťte se na tým pro váš účet.

1. Otevřete terminál.

2. (Volitelné) Vytvořte adresář pro kořenovou CA a přejděte do něj.

   mkdir -p /root/customca
   cd /root/customca

   Soubory certifikátu můžete vygenerovat v libovolném adresáři. Tento krok pomáhá udržet pořádek. Pokud ho vynecháte, soubory se vytvoří v aktuálním pracovním adresáři.

3. Vygenerujte soukromý klíč pro kořenovou CA.

   openssl genrsa -out <CUSTOM-ROOT-PRIVATE-KEY>.pem 2048

   2048 hodnota určuje velikost klíče RSA v bitech. Můžete použít 4096 pro vyšší zabezpečení za cenu mírně pomalejších handshaků TLS.

4. Vygenerujte samopodepsaný kořenový certifikát.

   openssl req -x509 -sha256 -new -nodes \
     -key <CUSTOM-ROOT-PRIVATE-KEY>.pem \
     -days 365 \
     -out <CUSTOM-ROOT-CERT>.pem \
     -addext "basicConstraints=critical,CA:TRUE" \
     -addext "keyUsage=critical,keyCertSign,cRLSign"

   -addext příznaky přidají basicConstraints a keyUsage rozšíření vyžadovaná RFC 5280 ↗ pro certifikáty CA. Bez nich mohou některé klienty TLS odmítnout certifikáty podepsané vaší vlastní CA. Python 3.13 a novější verze ve výchozím nastavení striktně vyžadují dodržování RFC 5280 (ssl.VERIFY_X509_STRICT), což u zařízení používajících Cloudflare One Client způsobí selhání požadavků HTTPS, pokud nahraná certifikační autorita tato rozšíření neobsahuje.

   -days 365 hodnota řídí platnost certifikátu. Kratší doba platnosti snižuje riziko v případě kompromitace klíče, ale vyžaduje častější rotaci. Rotace nasazeného certifikátu BYOPKI je rušivá operace, proto zvolte platnost, která vyváží bezpečnost a provozní náročnost.

   Chyba: Unknown cipher or option -addext

   Pokud váš systém používá verze OpenSSL starší než 1.1.1, -addext příznak není k dispozici. Použijte místo něj konfigurační soubor:

   openssl req -x509 -sha256 -new -nodes \
     -key <CUSTOM-ROOT-PRIVATE-KEY>.pem \
     -days 365 \
     -out <CUSTOM-ROOT-CERT>.pem \
     -config <(printf '[req]\ndistinguished_name=dn\n[dn]\n[v3_ca]\nbasicConstraints=critical,CA:TRUE\nkeyUsage=critical,keyCertSign,cRLSign') \
     -extensions v3_ca

5. Ověřte, že jsou přítomna požadovaná rozšíření RFC 5280:

   openssl x509 -in <CUSTOM-ROOT-CERT>.pem -noout -ext keyUsage,basicConstraints

   Výstup by měl obsahovat:

   X509v3 Basic Constraints: critical
   		CA:TRUE
   X509v3 Key Usage: critical
   		Certificate Sign, CRL Sign

   Pokud tato pole chybí, vygenerujte certifikát znovu pomocí příkazu z kroku 4.

6. Chcete-li zkontrolovat soukromý klíč, spusťte následující příkaz:

   openssl rsa -in <CUSTOM-ROOT-PRIVATE-KEY>.pem -text

   Chcete-li zkontrolovat certifikát, spusťte následující příkaz:

   openssl x509 -in <CUSTOM-ROOT-CERT>.pem -text

Při přípravě certifikátu a soukromého klíče k nahrání nezapomeňte odstranit veškeré nežádoucí znaky, například neshodující se subdomény v common name certifikátu.

Nahrát můžete buď samostatný kořenový certifikát, nebo celý řetězec certifikátů. Při nahrávání řetězce certifikátů přes dashboard, API nebo Terraform certifikáty zřetězte ve formátu PEM tak, aby kořenový certifikát byl první a následovaly mezilehlé certifikáty.

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/gateway/configuration" \
	--request PATCH \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
	--json '{
		"settings": {
				"certificate": {
						"id": "{certificate_id}",
						"in_use": true
				}
		}
	}'

Chcete-li použít vlastní kořenový certifikát, který jste vygenerovali a nahráli do Cloudflare, podívejte se do Aktivace kořenového certifikátu.

Pokud Gateway vrátí Kód odpovědi HTTP: 526 po nasazení vlastního certifikátu najdete v Dokumentace k chybě 526.

Python 3.13 a novější verze umožňují ssl.VERIFY_X509_STRICT ve výchozím nastavení, což vyžaduje, aby certifikáty CA vyhovovaly RFC 5280 ↗. Pokud byl váš certifikát BYOPKI vygenerován bez keyUsage a basicConstraints rozšířeními budou požadavky HTTPS v Pythonu selhávat, pokud je aktivní Cloudflare One Client. Chcete-li problém vyřešit, vygenerujte novou vlastní kořenovou CA a nahrajte jej do Cloudflare.